Naplánujte podsiete pred VPN medzi lokalitami: prečíslujte alebo prekladajte

Dve kancelárie používajú obe 192.168.1.0/24, pretože nikto neplánoval inak, a od tunela sa očakáva, že to vyrieši. Nemôže: router nemôže spôsobiť, aby tá istá privátna adresa znamenala dve rôzne miesta. Práca, ktorá tomu bráni, sa deje pred napísaním prvého parametra tunela.

Zinventarizujte každý rozsah, vrátane zabudnutých

Zhromaždite LAN, serverové segmenty, fondy klientov vzdialeného prístupu, rozsahy cloudových VPC a všetky kontajnerové či prekrývajúce sa siete, ku ktorým sa hostitelia musia dostať. Fondy klientov sú tie, na ktoré sa zabúda, a prekvapivo často sa prekrývajú s kancelárskym rozsahom, pretože oba boli vybrané z rovnakej predvolenej hodnoty. Zahrňte riadiacu sieť a akýkoľvek out-of-band segment.

Zaznamenajte vlastníka, bránu, účel a či musí byť prefix dostupný z druhej lokality. Prefix, ktorý nikdy nemusí prejsť tunelom, nemusí byť jedinečný, a toto vedomie znižuje prácu s prečíslovaním.

IPv6 riešte zvlášť, pretože jeho plán aj prekryvy sú nezávislé.

Porovnávajte prefixy, nie známe adresy

Dve siete s rôznymi adresami hostiteľov sa môžu stále prekrývať, pretože prekryv je vlastnosť masiek, nie čísel, ktoré si ľudia pamätajú. 10.20.0.0/16 obsahuje 10.20.30.0/24, či to niekto povie nahlas alebo nie. Porovnávajte celé dvojice prefixov a kontrolujte agregáty proti menším sieťam v nich. Preto kontrola patrí do tabuľky, nie do niekoho hlavy.

Rovnaká kontrola platí pre vlastný fond klientov VPN a pre každý preložený rozsah, ktorý plánujete zaviesť, pretože preložený rozsah, ktorý koliduje, je horší ako pôvodný prekryv.

Tabuľka prefixov s maskami stačí; diagram bez masiek nie.

Rozhodnite, čo skutočne musí prejsť

Lokalita môže obsahovať tridsať podsietí, zatiaľ čo jedna servisná sieť potrebuje vzdialený prístup. Začnite od tejto požiadavky a inzerujte iba to, čo potrebuje, pretože menšie inzeráty a zodpovedajúce pravidlá prístupu sa ľahšie kontrolujú a ťažšie sa omylom rozšíria. Inzerovať každý používaný privátny rozsah je zvyk, ktorý mení tunel na most. Čím užší inzerát, tým menší je dopad budúcej chyby.

Privátny DNS musí vracať adresy, na ktoré sa zamýšľaní klienti dostanú, takže názov ukazujúci na neinzerovaný alebo prekrývajúci sa rozsah zostáva pokazený, aj keď vyhľadanie uspeje.

Prístupový zoznam napíšte pred konfiguráciou tunela, nie po tom, čo zlyhá.

Prečíslujte alebo prekladajte a poznajte cenu

Prečíslovanie jednej siete je zvyčajne najjasnejšia dlhodobá náprava a dotýka sa rezervácií, zariadení, DNS, pravidiel firewallu a všetkého, čo má adresu zapečenú v konfigurácii. Preklad prístupového rozsahu je alternatíva, keď je prečíslovanie nepraktické, a stojí identitu zdroja plus triedu protokolov, ktoré vkladajú adresy do payloadu. Vyberte jedno a dokončite ho, pretože napoly prečíslovaná sieť je horšia ako ktorákoľvek z oboch možností.

Nech vyberiete čokoľvek, zdokumentujte pôvodnú aj prezentovanú adresu, pretože každý neskorší rozhovor o riešení problémov potrebuje obe.

Obchádzka bez spiatočnej cesty nie je obchádzka.

Použite maticu trás ako akceptačný test

Skončite maticou: lokálny prefix, vzdialený prefix, povolená služba a návratová brána. Táto tabuľka je akceptačný test, keď tunel naskočí, a je to aj dokument, ktorý bude čítať nasledujúci inženýr. Testujte zo skutočných hostiteľov vo vybraných podsietiach, nie z brán.

Ping medzi adresami tunela dokazuje, že tunel existuje, a nič o pláne adries za ním.

Uchovávajte maticu s konfiguráciou tunela a ďalšie pridanie lokality začne z dát, nie z pamäti. Keď plán existuje, príručka strongSwan o preposielaní pokrýva stranu brány.