Načrtujte zasebna območja naslovov VPN, preden se mesta zaletijo

Dve mesti, ki oba uporabljata 192.168.1.0/24, lahko vsako doseže internet in se še vedno ne dosežeta. Prehod ne sporoči napake; namesti eno pot za to predpono in vsak paket pošlje tistemu partnerju, ki ga je zahteval prvi. Nič v rokovanju, seznamu šifer ali metriki vmesnika ne pove, kateri partner je napačen. Načrtovanje naslovov je tisti del zasnove, ki to razreši, preden se kdor koli poveže.

Popišite vsak prostor, ki mora biti dosegljiv

Zapišite območja, ki jih je treba usmerjati, ne le tistih, ki jih konfigurirate. To pomeni lokalna omrežja mest, bazene odjemalcev VPN, oblačne podomrežja, omrežja za upravljanje in zunaj pasu, laboratorijske segmente in omrežja, s katerih se uporabniki običajno povezujejo od doma. Potrošniški usmerjevalnik, dobavljen kot 192.168.1.0/24, ni hipotetičen, in ista predpona se pojavi v hotelih in konferenčnih središčih. Popis je tabela predpone, lastnika in namena in je edini artefakt, ki prepreči, da bi isto območje izdali dvakrat.

Dodajte predpone, ki jih pričakujete v naslednjem letu, ker načrt, ki pokriva le današnji dan, odpove na prvem novem mestu. V vsaki vrstici označite, kdo jo lahko spremeni, ne le kdo jo ima v lasti.

Ponovna uporaba je tisto, kar to oteži: zasebni prostor je končen in vsaka organizacija ima 10.0.0.0/8 za svojega. Načrt ne more obljubiti, da nobeno prihodnje gostujoče omrežje ne bo pristalo na eni od vaših predpon, zato mora zasnova povedati, kaj se zgodi, ko se to zgodi. Dve pravili opravita večino dela. Postavite bazene odjemalcev v en sklenjen blok, ki ga lahko povzamete, in nikoli ne dodelite območja, ki ga druga ekipa že usmerja. Vse ostalo je evidenca, ki jo nekdo vzdržuje ažurno.

Zakaj prekrivanje premaga usmerjevalno tabelo

Pot je predpona plus naslednji skok, posredovanje pa izbere najdaljšo ujemajočo se predpono. Ko dva partnerja zahtevata isto 192.168.1.0/24, ima tabela zanj en vnos, zato promet obeh mest odide skozi isti tunel. Drugo mesto ni napačno konfigurirano; ni dosegljivo, ker prvo odgovarja za iste naslove. Nobena metrika ju ne more ločiti, ker se ujemanje zgodi, preden se upoštevajo metrike.

Okvara je asimetrična in jo je lahko napačno brati. Gostitelji na mestu A dosežejo prehod in nekatere storitve, medtem ko gostitelji mesta B ne odgovorijo na nič, dnevnik pa kaže zdrav tunel v obe smeri. Ta vzorec je trčenje naslovov in ne okvara preverjanja pristnosti ali požarnega zidu, za potrditev pa je potreben en izpis tabele, primerjan s popisom.

Namerno določite velikost bazena odjemalcev in območij mest

Bazen odjemalcev VPN je območje, iz katerega prehod izda po en naslov, zato njegova velikost omejuje sočasnost. /24 vsebuje 254 uporabnih naslovov, kar je velikodušno za majhno ekipo in tesno za podružnico, ki poganja vsebnike; /22 v zasebnem prostoru ne stane nič dodatnega in odpravi razpravo. Bazen naj bo sklenjen in stran od vsakega lokalnega omrežja mesta, da povzeta pot proti odjemalcem nikoli ne pogoltne mesta. Območje rezervirajte tudi, ko je bazen prazen, ker je nezapisano območje tisto, ki ga bo dodelil naslednji inženir.

Mesta dobijo območja, dimenzionirana za pričakovane gostitelje plus rast, poravnana na meji, ki se čisto povzame. Namenske vrzeli med dodelitvami nič ne stanejo in kupijo prostor za poznejše združevanje.

Nato preverite smer, ki jo ljudje pozabijo: povratno pot. Vsak usmerjevalnik mesta potrebuje pot do bazena odjemalcev, koncentrator pa pot do vsake predpone mesta, ki jo streže. Urejena tabela predpon brez poti nazaj v bazen je še vedno zlomljena zasnova, simptom pa je enosmerna povezava, ki na nič ne odgovori. Obe smeri držite v isti tabeli in jo pregledajte vsakič, ko je dodano mesto.

Prevod in preštevilčenje rešujeta različne težave

Ko prekrivanje že obstaja, sta na voljo dve pošteni možnosti in ena nepoštena. Preštevilčenje trajno odpravi trčenje in stane vzdrževalno okno plus vsak trdo kodiran naslov, ki ste ga pozabili. Prevod naslovov preslika zasebno območje ene strani v drugo območje na robu tunela, kar pusti obe mesti nedotaknjeni, a doda stanje, zlomi protokole, ki vgrajujejo naslove, in oteži branje dnevnikov. Nepoštena možnost je pot gostitelja do enega strežnika, ki prestane en test in odpove pri vsem drugem.

Izberite glede na nadzor in življenjsko dobo. Mesto, ki ga imate in ga lahko načrtujete, spada na pot preštevilčenja; partnersko omrežje, ki se ga ne morete dotakniti in se uporablja za eno aplikacijo, je kandidat za prevod z dokumentiranim preslikavanjem. To preslikavanje zapišite, ker prevod, ki obstaja le znotraj konfiguracijske datoteke, izgine v trenutku, ko je datoteka zamenjana.

Testirajte z oddaljene strani pred uvedbo

Testirajte iz omrežja, ki ne gosti prehoda, ker lastno lokalno omrežje prehoda skrije večino napak usmerjanja. Povežite odjemalca za običajnim domačim usmerjevalnikom, nato dosezite storitev na vsakem mestu in eno znotraj bazena odjemalcev. Preizkusite tudi obratno smer, z gostitelja mesta na odjemalca, ker povratne poti odpovejo neodvisno. Test, ki samo pinga prehod, dokaže, da tunel deluje, in nič več.

Območja, lastnike in preslikave prevoda držite v eni skupni evidenci, ki jo naslednje mesto prebere, preden kar koli dodeli. Preglejte jo ob dodajanju mesta in nedokumentirano območje obravnavajte kot napako, ne kot presenečenje.

Evidenca je rezultat. Načrt, ki živi v spominu treh ljudi, odpove prvič, ko je eden od njih na dopustu, prekrivanje, najdeno v produkciji, pa stane več, kot bi stala tabela.