Планирајте подмреже пре VPN-а између локација: пренумеришите или преведите

Две канцеларије користе 192.168.1.0/24 јер нико није планирао другачије, а од тунела се очекује да то реши. Не може: рутер не може да учини да иста приватна адреса значи два различита места. Рад који то спречава одвија се пре него што се упише први параметар тунела.

Пописом обухватите сваки опсег, укључујући заборављене

Прикупите LAN-ове, серверске сегменте, скупове клијената за даљински приступ, опсеге cloud VPC-а и све контејнерске или overlay мреже до којих домаћини морају да дођу. Скупови клијената су оно што људи заборављају и изненађујуће се често преклапају са канцеларијским опсегом јер су оба изабрана из исте подразумеване вредности. Укључите управљачку мрежу и сваки out-of-band сегмент.

Забележите власника, gateway, сврху и да ли префикс мора бити доступан са друге локације. Префикс који никада не треба да пређе тунел не мора бити јединствен, а знање о томе смањује посао пренумерације.

IPv6 радите одвојено, јер су његов план и његова преклапања независни.

Упоређујте префиксе, не познате адресе

Две мреже са различитим адресама домаћина и даље могу да се преклапају, јер је преклапање својство маски, а не бројева које људи памте. 10.20.0.0/16 садржи 10.20.30.0/24 без обзира на то да ли то неко изговара наглас. Упоређујте пуне парове префикса и проверавајте агрегате према мањим мрежама унутар њих. Зато провера припада у табелу, а не у нечију главу.

Иста провера важи за сопствени скуп клијената VPN-а и за сваки преведени опсег који планирате да уведете, јер је преведени опсег који се судара гори од изворног преклапања.

Табела префикса са маскама је довољна; дијаграм без маски није.

Одлучите шта заиста мора да пређе

Локација може да садржи тридесет подмрежа, док једној сервисној мрежи треба даљински приступ. Пођите од тог захтева и оглашавајте само оно што му треба, јер су мањи огласи и одговарајућа правила приступа лакши за преглед и тежи за случајно проширење. Оглашавање сваког приватног опсега у употреби навика је која тунел претвара у мост. Што је оглас ужи, то је мањи радијус будуће грешке.

Приватни DNS мора да враћа адресе до којих предвиђени клијенти могу да дођу, па име које показује на неоглашени или преклапајући опсег остаје покварено чак и када претрага успе.

Напишите листу приступа пре конфигурације тунела, а не након што она не успе.

Пренумеришите или преведите и знајте цену

Пренумерација једне мреже обично је најјаснији дугорочни лек и дотиче резервације, уређаје, DNS, правила firewall-а и све што има адресу уграђену у конфигурацију. Превођење приступног опсега алтернатива је када је пренумерација непрактична, а кошта идентитет извора плус класу протокола који уграђују адресе у payload. Изаберите једно и довршите, јер је напола пренумерисана мрежа гора од било које опције.

Шта год одабрали, документујте и оригиналну и представљену адресу, јер сваки каснији разговор о решавању проблема треба обе.

Заобилазно решење без повратне путање није заобилазно решење.

Користите матрицу рута као пријемни тест

Завршите матрицом: локални префикс, удаљени префикс, дозвољена услуга и повратни gateway. Та табела је пријемни тест када се тунел подигне, а то је и документ који ће следећи инжењер читати. Тестирајте са правих домаћина на одабраним подмрежама, а не са gateway-а.

Ping између адреса тунела доказује да тунел постоји и ништа о плану адреса иза њега.

Држите матрицу уз конфигурацију тунела и следеће додавање локације почиње из података, а не из сећања. Када план постоји, strongSwan водич за прослеђивање покрива страну gateway-а.