Како димензионисати адресни простор за VPN између локација

Питајте колика треба да буде подмрежа VPN-а и искрен одговор је да се у питању могу крити четири различите подмреже. VPN локације може укључивати транспортне крајње тачке, нумерисане тунелске везе, префиксе заштићене локалне мреже и, на управљаним пролазима, инфраструктурну подмрежу коју провајдер резервише. У конкретном пројекту постоје само једна или две од њих. Димензионисање по броју канцеларијских уређаја је начин на који план заврши са /24 који никога не задовољава.

Именујте четири улоге пре него што било шта доделите

Транспортне крајње тачке су адресе које два пролаза користе да би се међусобно достигла преко интернета или приватне линије, а њихов број произлази из модела пролаза и резервисања, не из локалне мреже. Унутрашње тунелске везе постоје само тамо где пројекат нумерише интерфејс тачка-на-тачку, што конфигурација IPsec-а заснована на правилима обично не чини. Заштићени префикси су стварне канцеларијске мреже или мреже VPC које морају бити усмериве, а подмрежа коју провајдер резервише припада управљаној услузи.

Попишите шта већ постоји пре него што било шта додате, јер је скупа грешка овде поновна употреба префикса који се већ усмерава негде другде. Стари тунел из пилот пројекта довољан је да затрује план. Запишите попис са датумима, јер сећање на укинуту везу надживи саму везу.

ip -br addr show
ip route show | head -40

Те две наредбе дају локални поглед на повезане мреже и на руте које достижу све иза њих. Поновите попис на свакој локацији, јер ће се план изграђен на излазу једне локације сударити с излазом следеће. Прикупите излазе пре него што доделите иједан блок.

Бројте везе и топологију, а не уређаје

Пројекат са осам суседстава тачка-на-тачку троши осам блокова, а не један. На /30 сваки блок троши четири адресе да повеже два хоста, па план носи тридесет и две адресе за шеснаест употребљивих крајњих тачака, и то је бројка коју буџет мора да поднесе. Платформа која подржава везе /31 троши половину, али само кад се оба краја и услуга сложе о том моделу. Заокружите буџет навише, а не наниже, јер смањити блок касније значи пренумерисати живе везе.

Ограничења провајдера надјачавају општу праксу. Документовани унутрашњи тунелски опсег може захтевати /30 чак и тамо где /31 ради на вашим рутерима, а управљани пролаз може захтевати одређену маску за сопствену подмрежу. Прочитајте захтев услуге пре него што примените правило позајмљено с друге платформе.

Вишетачкасти преклопни слој поново мења аритметику: једна адреса по пролазу, при чему преклопни слој преузима достижност међу њима. Одлучите коју топологију имплементација заиста користи пре него што помножите локације величином блока.

Раст заслужује свој ред у плану. Резервисати заокружено инфраструктурно подручје разумно је, као и забележити које мање доделе у њему леже, да следећи инжењер не прочита резервацију као један емитујући домен.

Држите подмрежу пролаза изван скупа локалне мреже

Инфраструктура управљаног пролаза није скуп клијената. Адресе у резервисаној подмрежи пролаза угошћују сопствене компоненте услуге и удаљени радници из њих никада не црпе. Димензионисати ту подмрежу по броју корисника је категоријска грешка која или расипа велико подручје или изгладњује пролаз.

Исто важи за тунелска подручја на клауд VPN везама, где провајдер додељује мало унутрашње подручје по тунелу за сопствену употребу. То подручје није место где живе ваши сервери филијале и није ваше за дељење.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Испис спољних адреса потврђује шта је провајдер доделио и који је резервни тунел тренутно активан. Брже је од читања пројектног документа написаног пре него што је веза постојала.

Забележите улогу, власника и раст за сваки префикс

План који преживи додир с погоном наводи за сваки префикс коју улогу има, ко додељује удаљени крај и колико резерве има. Без поља власника два тима додељују исти /24 у истом тромесечју, а сукоб се покаже тек кад се тунел подигне.

Држите та подручја подаље од кућних и филијалних префикса који пристижу другим тунелима, јер је преклапање простора уобичајен разлог зашто веза између локација успешно преговара и потом не пропушта никакав саобраћај.

Додела унутрашњих адреса везе не оглашава локалне мреже иза њих. Руте или бирачи саобраћаја, повратне стазе и правила приступа засебне су радне ставке и план би то требало да каже уместо да имплицира да нумерисани интерфејс обавља усмеравање за вас.