Ako dimenzovať adresný priestor pre VPN medzi lokalitami

Opýtajte sa, aká veľká má byť podsiet VPN, a úprimná odpoveď je, že v otázke môžu byť štyri rôzne podsiete. VPN medzi lokalitami môže zahŕňať transportné koncové body, číslované spoje tunela, prefixy chránenej siete LAN a na spravovaných bránach aj infraštruktúrnu podsiet, ktorú si poskytovateľ vyhradzuje. V konkrétnom návrhu existuje len jedna alebo dve z nich. Dimenzovať ich podľa počtu kancelárskych zariadení je spôsob, akým plán skončí s /24, ktoré nikoho neuspokojí.

Skôr než čokoľvek pridelíte, pomenujte štyri roly

Transportné koncové body sú adresy, ktoré dve brány používajú na vzájomné dosiahnutie cez internet alebo prenajatý okruh, a ich počet vychádza z modelu brány a redundancie, nie zo siete LAN. Vnútorné spoje tunela existujú len tam, kde návrh čísluje rozhranie bod-bod, čo konfigurácia IPsec založená na politikách zvyčajne nerobí. Chránené prefixy sú skutočné kancelárske siete alebo siete VPC, ktoré musia byť smerovateľné, a podsiet vyhradená poskytovateľom patrí spravovanej službe.

Zinventarizujte, čo už existuje, skôr než niečo pridáte, pretože drahou chybou je tu opätovné použitie prefixu, ktorý sa už smeruje inde. Starý tunel z pilotného projektu stačí na to, aby otrávil plán. Zapíšte inventár s dátumami, pretože pamäť na zrušený spoj prežije samotný spoj.

ip -br addr show
ip route show | head -40

Tieto dva príkazy dávajú miestny pohľad na pripojené siete a na trasy, ktoré dosiahnu všetko za nimi. Inventúru opakujte na každej lokalite, pretože plán postavený na výstupe jednej lokality sa zrazí s výstupom nasledujúcej. Výstupy pozbierajte, než pridelíte jediný blok.

Počítajte spoje a topológiu, nie zariadenia

Návrh s ôsmimi susedstvami bod-bod spotrebuje osem blokov, nie jeden. Pri /30 každý blok spotrebuje štyri adresy na prepojenie dvoch hostiteľov, takže plán nesie tridsaťdva adries pre šestnásť použiteľných koncových bodov, a to je číslo, ktoré musí rozpočet uniesť. Platforma podporujúca spoje /31 spotrebuje polovicu, ale len keď sa oba konce a služba na tomto modeli zhodnú. Rozpočet zaokrúhlite nahor, nie nadol, pretože zmenšiť blok neskôr znamená prečíslovať živé spoje.

Obmedzenia poskytovateľa prevyšujú všeobecnú prax. Dokumentovaný vnútorný rozsah tunela môže vyžadovať /30 aj tam, kde /31 na vašich routeroch funguje, a spravovaná brána môže pre svoju vlastnú podsiet žiadať konkrétnu masku. Prečítajte si požiadavku služby, než použijete pravidlo vypožičané z inej platformy.

Viacbodové prekrytie znova mení aritmetiku: jedna adresa na bránu, pričom prekrytie sa stará o dosiahnuteľnosť medzi nimi. Rozhodnite, ktorú topológiu implementácia skutočne používa, než vynásobíte lokality veľkosťou bloku.

Rast si zaslúži vlastný riadok v pláne. Vyhradiť súvislý infraštruktúrny rozsah je rozumné, rovnako ako zaznamenať, ktoré menšie pridelenia v ňom ležia, aby si ďalší inžinier neprečítal rezerváciu ako jednu broadcastovú doménu.

Držte podsiet brány mimo fondu siete LAN

Infraštruktúra spravovanej brány nie je fond klientov. Adresy vo vyhradenej podsieti brány hostujú vlastné komponenty služby a vzdialení pracovníci z nich nikdy nečerpajú. Dimenzovať túto podsiet podľa počtu používateľov je kategorická chyba, ktorá buď plytvá veľkým rozsahom, alebo vyhladuje bránu.

To isté platí pre rozsahy tunelov pri cloudových VPN pripojeniach, kde poskytovateľ prideľuje malý vnútorný rozsah na tunel pre vlastnú potrebu. Tento rozsah nie je miesto, kde žijú vaše pobočkové servery, a nie je vaše ho rozdávať.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Výpis vonkajších adries potvrdzuje, čo poskytovateľ pridelil a ktorý záložný tunel je práve aktívny. Je to rýchlejšie než čítať návrhový dokument napísaný predtým, než spojenie vzniklo.

Zaznamenajte rolu, vlastníka a rast pre každý prefix

Plán, ktorý prežije kontakt s prevádzkou, uvádza pri každom prefixe, akú rolu hrá, kto prideľuje vzdialený koniec a koľko má rezervy. Bez poľa vlastníka pridelia dva tímy rovnaké /24 v tom istom štvrťroku a kolízia sa ukáže až pri zdvihnutí tunela.

Držte tieto rozsahy bokom od domácich a pobočkových prefixov, ktoré prichádzajú inými tunelmi, pretože prekrývajúci sa priestor je obvyklý dôvod, prečo spojenie medzi lokalitami úspešne vyjedná a potom neprepustí žiadnu prevádzku.

Pridelenie vnútorných adries spoja neoznamuje siete LAN za nimi. Trasy alebo selektory prevádzky, spätné cesty a prístupové pravidlá sú samostatné pracovné položky a plán by to mal povedať, namiesto toho, aby naznačoval, že číslované rozhranie za vás urobí smerovanie.