Si të përmasojmë hapësirën e adresave për një VPN mes site-ve

Pyetni sa e madhe duhet të jetë nënrrjeta VPN dhe përgjigjja e sinqertë është se brenda pyetjes mund të jenë katër nënrrjeta të ndryshme. Një VPN site mund të përfshijë pika fundore transporti, lidhje tuneli të numëruara, prefikset e LAN-it të mbrojtur dhe, në portat e menaxhuara, një nënrrjetë infrastrukture që ofruesi e rezervon. Në një projekt të caktuar ekzistojnë vetëm një ose dy prej tyre. Përmasimi i tyre nga numri i pajisjeve të zyrës është mënyra se si një plan përfundon me një /24 që nuk kënaq askënd.

Emërtoni katër rolet përpara se të caktoni ndonjë gjë

Pikat fundore të transportit janë adresat që dy porta përdorin për të arritur njëra-tjetrën përmes internetit ose një qarku privat, dhe numri i tyre vjen nga modeli i portës dhe tepricës, jo nga LAN-i. Lidhjet e tunelit të brendshëm ekzistojnë vetëm aty ku projekti numëron një ndërfaqe pikë-për-pikë, të cilën një konfigurim IPsec i bazuar në politikë zakonisht nuk e bën. Prefikset e mbrojtura janë rrjeta reale zyre ose VPC që duhet të jenë të rrugëtueshme, dhe nënrrjeta e rezervuar nga ofruesi i përket shërbimit të menaxhuar.

Inventarizoni atë që ekziston tashmë përpara se të shtoni diçka, sepse gabimi i shtrenjtë këtu është ripërdorimi i një prefiksi që tashmë rrugëtohet diku tjetër. Një tunel i vjetër nga një projekt pilot mjafton për të helmuar një plan. Shkruajeni inventarin me data, sepse kujtimi i një lidhjeje të çmontuar jeton më shumë se vetë lidhja.

ip -br addr show
ip route show | head -40

Ato dy komanda japin pamjen lokale të rrjeteve të lidhura dhe të rrugëve që arrijnë gjithçka përtej tyre. Përsëriteni inventarin në çdo site, sepse një plan i ndërtuar nga dalja e një site do të përplaset me atë të tjetrit. Mblidhni daljet përpara se të caktoni një bllok të vetëm.

Numëroni lidhjet dhe topologjinë, jo pajisjet

Një projekt me tetë fqinjësi pikë-për-pikë konsumon tetë blloqe, jo një. Në /30 çdo bllok shpenzon katër adresa për të lidhur dy hoste, kështu që plani mban tridhjetë e dy adresa për gjashtëmbëdhjetë pika fundore të përdorshme, dhe ky është numri që buxheti duhet të përballojë. Një platformë që mbështet lidhje /31 shpenzon gjysmën, por vetëm kur të dy skajet dhe shërbimi pajtohen për atë model. Rrumbullakosni buxhetin lart dhe jo poshtë, sepse zvogëlimi i një blloku më vonë do të thotë rinumerim i lidhjeve aktive.

Kufizimet e ofruesit mundin praktikën e përgjithshme. Një interval i dokumentuar i tunelit të brendshëm mund të kërkojë /30 edhe aty ku /31 funksionon në ruterat tuaj, dhe një portë e menaxhuar mund të kërkojë një maskë të caktuar për nënrrjetën e saj. Lexoni kërkesën e shërbimit përpara se të zbatoni një rregull empirik të huazuar nga një platformë tjetër.

Një mbulesë shumëpikëshe e ndryshon përsëri aritmetikën: një adresë për portë, me mbulesën që merret me arritshmërinë mes tyre. Vendosni cila topologji përdoret në të vërtetë nga zbatimi përpara se të shumëzoni site-t me një madhësi blloku.

Rritja meriton rreshtin e vet në plan. Rezervimi i një intervali koherent infrastrukture është i arsyeshëm, dhe po ashtu shënimi se cilat alokime më të vogla ndodhen brenda tij, që inxhinieri i radhës të mos e lexojë rezervimin si një domen të vetëm transmetimi.

Mbajeni nënrrjetën e portës jashtë grupit të LAN-it

Infrastruktura e një porte të menaxhuar nuk është grup klientësh. Adresat në një nënrrjetë portë të rezervuar strehojnë komponentët e vetë shërbimit, dhe punonjësit në distancë nuk marrin kurrë prej tyre. Përmasimi i asaj nënrrjete nga numri i përdoruesve është gabim kategorie që ose shpërdoron një interval të madh ose e lë portën pa adresa.

E njëjta gjë vlen për intervalet e tunelit në lidhjet VPN në re, ku ofruesi cakton një interval të vogël të brendshëm për çdo tunel për përdorimin e vet. Ai interval nuk është vendi ku jetojnë serverat e degës suaj, dhe nuk është i juaji për ta shpërndarë.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Renditja e adresave të jashtme konfirmon çfarë caktoi ofruesi dhe cili tunel rezervë është aktiv në këtë moment. Është më e shpejtë sesa të lexosh një dokument projekti të shkruar përpara se lidhja të ekzistonte.

Regjistroni rolin, pronarin dhe rritjen për çdo prefiks

Një plan që i reziston kontaktit me operacionet deklaron, për çdo prefiks, çfarë roli luan, kush cakton skajin e largët dhe sa hapësirë ka. Pa fushën e pronarit, dy ekipe caktojnë të njëjtën /24 në të njëjtin tremujor, dhe përplasja shfaqet vetëm kur tuneli ngrihet.

Mbajini këto intervale larg prefikseve të shtëpisë dhe të degës që vijnë përmes tuneleve të tjera, sepse mbivendosja e hapësirës është arsyeja e zakonshme pse një lidhje mes site-ve negocion me sukses dhe pastaj nuk kalon asnjë trafik.

Caktimi i adresave të lidhjes së brendshme nuk i shpall LAN-et pas tyre. Rrugët ose përzgjedhësit e trafikut, shtigjet e kthimit dhe rregullat e aksesit janë zëra të veçantë pune, dhe plani duhet ta thotë këtë në vend që të lërë të kuptohet se një ndërfaqe e numëruar e bën rrugëtimin për ju.