Načrtujte podomrežja pred VPN med lokacijami: preštevilčite ali prevedite

Dve pisarni uporabljata obe 192.168.1.0/24, ker nihče ni načrtoval drugače, od tunela pa se pričakuje, da bo to rešil. Ne more: usmerjevalnik ne more doseči, da bi isti zasebni naslov pomenil dve različni mesti. Delo, ki to prepreči, se zgodi pred vnosom prvega parametra tunela.

Popišite vsak razpon, tudi pozabljene

Zberite LAN-e, strežniške segmente, bazene odjemalcev za oddaljeni dostop, razpone VPC v oblaku in vsa vsebniška ali prekrivna omrežja, ki jih morajo gostitelji doseči. Bazeni odjemalcev so tisti, ki jih ljudje pozabijo, in se presenetljivo pogosto prekrivajo s pisarniškim razponom, ker so bili oboji izbrani iz iste privzete vrednosti. Vključite upravljalno omrežje in vsak segment zunaj pasu.

Zabeležite lastnika, prehod, namen in ali mora biti predpona dosegljiva z druge lokacije. Predponi, ki nikoli ne potrebuje prehoda skozi tunel, ni treba biti edinstvena, in to vedenje zmanjša delo s preštevilčenjem.

IPv6 naredite ločeno, ker sta njegov načrt in njegova prekrivanja neodvisna.

Primerjajte predpone, ne znanih naslovov

Dve omrežji z različnimi naslovi gostiteljev se lahko še vedno prekrivata, ker je prekrivanje lastnost mask in ne števil, ki si jih ljudje zapomnijo. 10.20.0.0/16 vsebuje 10.20.30.0/24, ne glede na to, ali kdo to pove na glas. Primerjajte cele pare predpon in preverite agregate proti manjšim omrežjem v njih. Zato preverjanje spada v preglednico in ne v glavo nekoga.

Enako preverjanje velja za lastni bazen odjemalcev VPN in za vsak prevedeni razpon, ki ga nameravate uvesti, ker je prevedeni razpon, ki trči, slabši od prvotnega prekrivanja.

Tabela predpon z maskami zadostuje; diagram brez mask ne.

Odločite, kaj v resnici mora prehajati

Lokacija lahko vsebuje trideset podomrežij, medtem ko eno storitveno omrežje potrebuje oddaljeni dostop. Začnite pri tej zahtevi in oglašujte le tisto, kar potrebuje, ker so manjše objave in ustrezna pravila dostopa lažje pregledati in težje pomotoma razširiti. Oglaševanje vsakega zasebnega razpona v uporabi je navada, ki tunel spremeni v most. Ožja ko je objava, manjši je polmer vpliva prihodnje napake.

Zasebni DNS mora vračati naslove, ki jih predvideni odjemalci dosežejo, zato ime, ki kaže na neoglašen ali prekrivajoč razpon, ostane pokvarjeno tudi, ko iskanje uspe.

Seznam dostopa napišite pred konfiguracijo tunela, ne po tem, ko ta spodleti.

Preštevilčite ali prevedite in poznajte stroške

Preštevilčenje enega omrežja je običajno najjasnejša dolgoročna rešitev in se dotika rezervacij, naprav, DNS, pravil požarnega zidu in vsega z naslovom, vgrajenim v konfiguracijo. Prevajanje dostopnega razpona je alternativa, ko je preštevilčenje nepraktično, in stane identiteto vira plus razred protokolov, ki vdelujejo naslove v koristni tovor. Izberite eno in jo dokončajte, ker je napol preštevilčeno omrežje slabše od obeh možnosti.

Karkoli izberete, dokumentirajte tako izvirni kot predstavljeni naslov, ker vsak poznejši pogovor o odpravljanju težav potrebuje oba.

Obhod brez poti nazaj ni obhod.

Uporabite matriko poti kot sprejemni test

Končajte z matriko: lokalna predpona, oddaljena predpona, dovoljena storitev in povratni prehod. Ta tabela je sprejemni test, ko se tunel dvigne, in je tudi dokument, ki ga bo bral naslednji inženir. Testirajte s pravih gostiteljev v izbranih podomrežjih in ne s prehodov.

Ping med naslovi tunela dokazuje, da tunel obstaja, in nič o načrtu naslovov za njim.

Hranite matriko skupaj s konfiguracijo tunela in naslednja dodana lokacija se začne iz podatkov in ne iz spomina. Ko načrt obstaja, vodnik strongSwan za posredovanje pokriva stran prehoda.