Planifikoni nënrrjetet përpara një VPN mes lokacioneve: rinumeroni ose përktheni

Dy zyra përdorin të dyja 192.168.1.0/24 sepse askush nuk planifikoi ndryshe, dhe tuneli pritet ta zgjidhë atë. Nuk mundet: një ruter nuk mund ta bëjë të njëjtën adresë private të nënkuptojë dy vende të ndryshme. Puna që e parandalon këtë bëhet përpara se të shtypet parametri i parë i tunelit.

Inventarizoni çdo interval, përfshirë ata që i harruat

Mblidhni LAN-et, segmentet e serverëve, grupet e klientëve të aksesit në distancë, intervalet VPC në re dhe çdo rrjet kontejnerësh ose shtresor që hostet duhet të arrijnë. Grupet e klientëve janë ato që njerëzit harrojnë, dhe mbivendosen me një interval zyre çuditërisht shpesh sepse të dy u zgjodhën nga e njëjta vlerë e paracaktuar. Përfshini rrjetin e menaxhimit dhe çdo segment jashtë brezit.

Regjistroni pronarin, portën, qëllimin dhe nëse prefiksi duhet të jetë i arritshëm nga lokacioni tjetër. Një prefiks që nuk ka nevojë kurrë të kalojë tunelin nuk duhet të jetë unik, dhe ta dish këtë e zvogëlon punën e rinumerimit.

Bëjeni IPv6 veçmas, sepse plani dhe mbivendosjet e tij janë të pavarura.

Krahasoni prefikset, jo adresat e njohura

Dy rrjete me adresa hostesh të ndryshme mund të mbivendosen gjithsesi, sepse mbivendosja është veti e maskave dhe jo e numrave që njerëzit mbajnë mend. 10.20.0.0/16 përmban 10.20.30.0/24, pavarësisht nëse dikush e thotë me zë të lartë. Krahasoni çifte të plota prefiksesh dhe kontrolloni agregatet kundrejt rrjeteve më të vogla brenda tyre. Prandaj kontrolli i takon një fletëllogaritëse dhe jo kokës së dikujt.

I njëjti kontroll vlen për grupin e klientëve të vetë VPN-së dhe për çdo interval të përkthyer që planifikoni të prezantoni, sepse një interval i përkthyer që përplaset është më keq se mbivendosja origjinale.

Një tabelë prefiksesh me maska mjafton; një diagram pa maska jo.

Vendosni çfarë duhet të kalojë në të vërtetë

Një lokacion mund të përmbajë tridhjetë nënrrjete ndërsa një rrjet shërbimi ka nevojë për akses në distancë. Filloni nga ai kërkesë dhe shpallni vetëm atë që i nevojitet, sepse shpalljet më të vogla dhe rregullat e aksesit që përputhen janë më të lehta për t’u rishikuar dhe më të vështira për t’u zgjeruar aksidentalisht. Shpallja e çdo intervali privat në përdorim është një zakon që e shndërron tunelin në urë. Sa më i ngushtë shpallja, aq më i vogël është rrezja e ndikimit të një gabimi të ardhshëm.

DNS privat duhet të kthejë adresa që klientët e synuar mund t’i arrijnë, kështu që një emër që tregon një interval të pashpallur ose të mbivendosur mbetet i prishur edhe kur kërkimi ka sukses.

Shkruani listën e aksesit përpara konfigurimit të tunelit, jo pasi ai dështon.

Rinumeroni ose përktheni, dhe njihni koston

Rinumerimi i një rrjeti është zakonisht ilaçi më i qartë afatgjatë, dhe prek rezervimet, pajisjet, DNS, rregullat e firewall-it dhe çdo gjë me një adresë të ngulitur në konfigurim. Përkthimi i një intervali aksesi është alternativa kur rinumerimi nuk është praktik, dhe kushton identitetin e burimit plus një klasë protokollesh që ngulitin adresat në ngarkesë. Zgjidhni një dhe përfundojeni, sepse një rrjet gjysmë i rinumeruar është më keq se secili prej opsioneve.

Çfarëdo që të zgjidhni, dokumentoni si adresën origjinale ashtu edhe atë të paraqitur, sepse çdo bisedë e mëvonshme për zgjidhjen e problemeve i nevojiten të dyja.

Një zgjidhje pa rrugë kthimi nuk është zgjidhje.

Përdorni një matricë rrugësh si test pranimi

Përfundoni me një matricë: prefiks lokal, prefiks në distancë, shërbim i lejuar dhe portë kthimi. Ajo tabelë është testi i pranimit kur tuneli ngrihet, dhe është gjithashtu dokumenti që do të lexojë inxhinieri tjetër. Testoni nga hoste reale në nënrrjetet e zgjedhura dhe jo nga portat.

Një ping mes adresave të tunelit provon se tuneli ekziston dhe asgjë për planin e adresave pas tij.

Mbajeni matricën me konfigurimin e tunelit, dhe shtimi i lokacionit të ardhshëm fillon nga të dhënat dhe jo nga kujtesa. Kur plani ekziston, udhëzuesi i strongSwan për përcjellje mbulon anën e portës.