Planera subnät innan en site-VPN: numrera om eller översätt

Två kontor använder båda 192.168.1.0/24 eftersom ingen planerade annat, och tunneln förväntas lösa det. Det kan den inte: en router kan inte få samma privata adress att betyda två olika platser. Arbetet som förhindrar det sker innan den första tunnelparametern skrivs.

Inventera varje intervall, även de du glömt

Samla in LAN, serversegment, klientpooler för fjärråtkomst, moln-VPC-intervall och eventuella container- eller överlagringsnätverk som värdar måste nå. Klientpooler är de folk glömmer, och de överlappar ett kontorsintervall förvånansvärt ofta eftersom båda valdes från samma standardvärde. Ta med hanteringsnätet och varje out-of-band-segment.

Anteckna ägare, gateway, syfte och om prefixet måste vara nåbart från den andra platsen. Ett prefix som aldrig behöver korsa tunneln behöver inte vara unikt, och att veta det minskar omnumreringsarbetet.

Gör IPv6 separat, eftersom dess plan och dess överlappningar är oberoende.

Jämför prefix, inte bekanta adresser

Två nätverk med olika värdadresser kan fortfarande överlappa, eftersom överlapp är en egenskap hos masker och inte hos talen folk minns. 10.20.0.0/16 innehåller 10.20.30.0/24 vare sig någon säger det högt eller inte. Jämför hela prefixpar och kontrollera aggregat mot de mindre näten inuti dem. Därför hör kontrollen hemma i ett kalkylark och inte i någons huvud.

Samma kontroll gäller VPN:ens egen klientpool och varje översatt intervall du planerar att införa, eftersom ett översatt intervall som kolliderar är värre än den ursprungliga överlappningen.

En tabell med prefix och masker räcker; ett diagram utan masker gör det inte.

Bestäm vad som faktiskt måste korsa

En plats kan innehålla trettio subnät medan ett tjänstenätverk behöver fjärråtkomst. Börja från det kravet och annonsera bara det det behöver, eftersom mindre annonser och matchande åtkomstregler är lättare att granska och svårare att utöka av misstag. Att annonsera varje privat intervall i bruk är en vana som förvandlar en tunnel till en bro. Ju smalare annonsen är, desto mindre är radien för ett framtida misstag.

Privat DNS måste returnera adresser som de avsedda klienterna kan nå, så ett namn som pekar på ett icke-annonserat eller överlappande intervall förblir trasigt även när uppslaget lyckas.

Skriv åtkomstlistan före tunnelkonfigurationen, inte efter att den misslyckats.

Numrera om eller översätt, och känn kostnaden

Omnumrering av ett nätverk är oftast den tydligaste långsiktiga lösningen, och den berör reservationer, enheter, DNS, brandväggsregler och allt med en adress inbakad i en konfiguration. Översättning av ett åtkomstintervall är alternativet när omnumrering är opraktiskt, och det kostar källidentitet plus en klass protokoll som bäddar in adresser i nyttolasten. Välj en och slutför den, eftersom ett halvt omnumrerat nätverk är värre än båda alternativen.

Vad du än väljer, dokumentera både den ursprungliga och den presenterade adressen, eftersom varje senare felsökningssamtal behöver dem.

En omväg utan returväg är inte en omväg.

Använd en rutmatris som acceptanstest

Avsluta med en matris: lokalt prefix, fjärrprefix, tillåten tjänst och returgateway. Den tabellen är acceptanstestet när tunneln kommer upp, och det är också dokumentet som nästa ingenjör kommer att läsa. Testa från riktiga värdar på de valda subnäten i stället för från gatewayerna.

En ping mellan tunneladresser bevisar att tunneln finns och ingenting om adressplanen bakom den.

Förvara matrisen tillsammans med tunnelkonfigurationen, och nästa platstillägg börjar från data i stället för minne. strongSwans guide för vidarebefordran täcker gateway-sidan när planen finns.