Kako dimenzionirati naslovni prostor za VPN med lokacijami

Vprašajte, kako veliko naj bo podomrežje VPN, in pošten odgovor je, da so v vprašanju lahko štiri različna podomrežja. VPN med lokacijami lahko vključuje transportne končne točke, oštevilčene tunelske povezave, predpone zaščitenega omrežja LAN in na upravljanih prehodih še infrastrukturno podomrežje, ki si ga ponudnik pridrži. V določeni zasnovi obstajata le eno ali dve od teh. Dimenzioniranje po številu pisarniških naprav je način, kako načrt konča s /24, ki nikogar ne zadovolji.

Preden kar koli dodelite, poimenujte štiri vloge

Transportne končne točke so naslovi, ki jih dva prehoda uporabljata za doseganje drug drugega prek interneta ali najetega voda, njihovo število pa izhaja iz modela prehoda in redundance, ne iz omrežja LAN. Notranje tunelske povezave obstajajo le tam, kjer zasnova oštevilči vmesnik točka-točka, česar konfiguracija IPsec, ki temelji na pravilnikih, običajno ne počne. Zaščitene predpone so resnična pisarniška omrežja ali omrežja VPC, ki morajo biti usmerljiva, podomrežje, ki si ga pridrži ponudnik, pa pripada upravljani storitvi.

Popišite, kar že obstaja, preden karkoli dodate, ker je draga napaka tukaj ponovna uporaba predpone, ki se že usmerja drugje. Star tunel iz pilotnega projekta je dovolj, da zastrupi načrt. Popis zapišite z datumi, ker spomin na ukinjeno povezavo preživi samo povezavo.

ip -br addr show
ip route show | head -40

Ta dva ukaza dajeta lokalni pogled na povezana omrežja in na poti, ki dosežejo vse za njimi. Popis ponovite na vsaki lokaciji, ker bo načrt, zgrajen iz izhoda ene lokacije, trčil z izhodom naslednje. Izrobe zberite, preden dodelite en sam blok.

Štejte povezave in topologijo, ne naprav

Zasnova z osmimi sosedstvi točka-točka porabi osem blokov, ne enega. Pri /30 vsak blok porabi štiri naslove za povezavo dveh gostiteljev, zato načrt nosi dvaintrideset naslovov za šestnajst uporabnih končnih točk, in to je število, ki ga mora proračun prenesti. Platforma, ki podpira povezave /31, porabi polovico, a le kadar se oba konca in storitev strinjata s tem modelom. Proračun raje zaokrožite navzgor kot navzdol, ker zmanjšati blok pozneje pomeni preštevilčiti žive povezave.

Omejitve ponudnika prevladajo nad splošno prakso. Dokumentirano notranje območje tunela lahko zahteva /30 tudi tam, kjer /31 deluje na vaših usmerjevalnikih, in upravljani prehod lahko zahteva določeno masko za svoje podomrežje. Preberite zahtevo storitve, preden uporabite pravilo, izposojeno z druge platforme.

Večtočkovni prekrivni sloj znova spremeni aritmetiko: en naslov na prehod, pri čemer prekrivni sloj skrbi za dosegljivost med njimi. Odločite se, katero topologijo izvedba dejansko uporablja, preden pomnožite lokacije z velikostjo bloka.

Rast si zasluži svojo vrstico v načrtu. Rezervirati sklenjeno infrastrukturno območje je smiselno, prav tako pa zabeležiti, katere manjše dodelitve ležijo v njem, da si naslednji inženir ne bo bral rezervacije kot eno samo oddajno domeno.

Ohranite podomrežje prehoda zunaj bazena omrežja LAN

Infrastruktura upravljanega prehoda ni bazen odjemalcev. Naslovi v rezerviranem podomrežju prehoda gostijo lastne komponente storitve in oddaljeni delavci iz njih nikoli ne črpajo. Dimenzioniranje tega podomrežja po številu uporabnikov je kategorijska napaka, ki bodisi zapravi veliko območje bodisi izstrada prehod.

Enako velja za območja tunelov pri povezavah VPN v oblaku, kjer ponudnik dodeli majhno notranje območje na tunel za lastno rabo. To območje ni tam, kjer živijo vaši podružnični strežniki, in ni vaše, da bi ga razdeljevali.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Prikaz zunanjih naslovov potrdi, kaj je ponudnik dodelil in kateri rezervni tunel je trenutno aktiven. Hitreje je kot branje načrtnega dokumenta, napisanega, preden je povezava obstajala.

Zabeležite vlogo, lastnika in rast za vsako predpono

Načrt, ki preživi stik z obratovanjem, pri vsaki predponi navaja, kakšno vlogo ima, kdo dodeli oddaljeni konec in koliko rezerve ima. Brez polja lastnika dva tima dodelita isto /24 v istem četrtletju, trčenje pa se pokaže šele, ko se tunel dvigne.

Ta območja ohranite proč od domačih in podružničnih predpon, ki prihajajo po drugih tunelih, ker je prekrivanje prostora običajen razlog, da se povezava med lokacijami uspešno pogaja in nato ne prepusti nobenega prometa.

Dodeljevanje notranjih naslovov povezave ne oglašuje omrežij LAN za njimi. Poti ali izbirniki prometa, povratne poti in pravila dostopa so ločene delovne postavke in načrt bi moral to povedati, namesto da bi namigoval, da oštevilčen vmesnik opravi usmerjanje namesto vas.