Plano ang mga pribadong hanay ng VPN address bago magbanggaan ang mga site

Dalawang site na parehong gumagamit ng 192.168.1.0/24 ay maaaring umabot sa internet at hindi pa rin mag-abot sa isa’t isa. Walang error na ibinubunga ang gateway; naglalagay ito ng isang ruta para sa prefix na iyon at ipinapadala ang bawat packet sa partner na unang nag-claim nito. Wala sa handshake, listahan ng cipher o metric ng interface ang nagsasabi kung aling partner ang mali. Ang pagpaplano ng address ang bahagi ng disenyo na nag-aayos nito bago pa may kumonekta.

Ilista ang bawat espasyong dapat maabot

Isulat ang mga hanay na kailangang i-routing, hindi lang ang mga kino-configure mo. Ibig sabihin nito ang mga LAN ng site, pool ng kliyente ng VPN, subnet sa cloud, network para sa pamamahala at labas ng band, segment ng laboratoryo at ang mga network na madalas kinukonektahan ng mga user mula sa bahay. Ang consumer router na ipinapadala bilang 192.168.1.0/24 ay hindi haka-haka, at ang parehong prefix ay lumilitaw sa mga hotel at conference venue. Ang listahan ay isang talahanayan ng prefix, may-ari at layunin, at ito ang tanging dokumentong pumipigil sa parehong hanay na maibigay nang dalawang beses.

Idagdag ang mga prefix na inaasahan mo sa susunod na taon, dahil ang planong sumasaklaw lamang sa ngayon ay nabibigo sa unang bagong site. Markahan ang bawat hilera kung sino ang makakapagbago nito, hindi lamang kung sino ang may-ari.

Ang muling paggamit ang dahilan kung bakit mahirap ito: limitado ang pribadong espasyo at itinuturing ng bawat organisasyon na kanila ang 10.0.0.0/8. Hindi maipapangako ng plano na walang hinaharap na guest LAN ang mahuhulog sa isa sa iyong mga prefix, kaya dapat sabihin ng disenyo kung ano ang nangyayari kapag nangyari ito. Dalawang patakaran ang gumagawa ng malaking bahagi ng trabaho. Ilagay ang mga pool ng kliyente sa isang magkadikit na bloke na maaari mong ibuod, at huwag kailanman maglaan ng hanay na nirorouting na ng ibang team. Ang lahat ng iba ay rekord na pinapanatili ng isang tao na napapanahon.

Bakit natalo ng overlap ang routing table

Ang ruta ay isang prefix at susunod na hop, at pinipili ng forwarding ang pinakamahabang tumutugmang prefix. Kapag dalawang partner ang parehong nag-claim ng 192.168.1.0/24, isang entry lang ang hawak ng table para dito, kaya ang traffic ng dalawang site ay lumalabas sa parehong tunnel. Hindi mali ang configuration ng pangalawang site; hindi ito maabot dahil ang una ang sumasagot para sa parehong mga address. Walang metric na makakapaghiwalay sa kanila, dahil nangyayari ang tugma bago pa konsultahin ang mga metric.

Asymmetrical ang pagkabigo at madaling mabasa nang mali. Naabot ng mga host sa site A ang gateway at ilang serbisyo, habang walang sinasagot ang mga host ng site B, at ang log ay nagpapakita ng malusog na tunnel sa parehong direksyon. Ang pattern na iyon ay banggaan ng address at hindi sira sa authentication o firewall, at ang pagpapatunay nito ay nangangailangan ng isang dump ng table na inihambing sa listahan.

Sadyang sukatin ang pool ng kliyente at mga hanay ng site

Ang pool ng kliyente ng VPN ay isang hanay na ibinibigay ng gateway nang isang address sa isang pagkakataon, kaya nililimitahan ng laki nito ang sabayang koneksyon. Ang /24 ay may 254 na magagamit na address, na sagana para sa maliit na team at masikip para sa sangay na nagpapatakbo ng container; ang /22 ay walang karagdagang gastos sa loob ng pribadong espasyo at inaalis ang debate. Panatilihing magkadikit ang pool at malayo sa bawat LAN ng site, upang ang summary route patungo sa mga kliyente ay hindi kailanman lumamon ng site. Ireserba ang hanay kahit walang laman ang pool, dahil ang hanay na hindi naisulat ang siyang ilalaan ng susunod na inhinyero.

Ang mga site ay tumatanggap ng mga hanay na sinukat para sa inaasahang host at paglago, nakahanay sa hangganang malinis na naibuod. Ang sadyang agwat sa pagitan ng mga alokasyon ay walang gastos at bumibili ng espasyo para sa pagsasama-sama mamaya.

Pagkatapos suriin ang direksyong nakakalimutan ng mga tao: ang daan pabalik. Kailangan ng bawat router ng site ng ruta patungo sa pool ng kliyente, at kailangan ng concentrator ng ruta patungo sa bawat prefix ng site na pinaglilingkuran nito. Ang maayos na talahanayan ng prefix na walang daan pabalik sa pool ay sirang disenyo pa rin, at ang sintomas ay one-way na koneksyon na walang sinasagot. Panatilihing nasa isang table ang dalawang direksyon at suriin ito tuwing may idadagdag na site.

Ang pagsasalin at muling pagbilang ay nag-aayos ng magkaibang problema

Kapag may overlap na, may dalawang tapat na opsyon at isang hindi tapat. Ang muling pagbilang ay nag-aalis ng banggaan nang permanente at nagkakahalaga ng maintenance window at bawat hardcoded na address na nakalimutan mo. Pagsasalin ng address ang nagmamapa ng pribadong hanay ng isang panig patungo sa ibang hanay sa gilid ng tunnel, na iniiwan ang dalawang site na hindi ginalaw ngunit nagdadagdag ng state, sumisira sa mga protocol na naglalagay ng address at nagpapahirap sa pagbasa ng log. Ang hindi tapat na opsyon ay host route patungo sa isang server, na pumapasa sa isang pagsubok at nabibigo sa lahat ng iba pa.

Pumili batay sa kontrol at tagal. Ang site na pag-aari mo at kayang iiskedyul ay nabibilang sa landas ng muling pagbilang; ang network ng partner na hindi mo maaaring galawin at ginagamit para sa isang aplikasyon ay kandidato para sa pagsasalin na may dokumentadong mapping. Isulat ang mapping na iyon, dahil ang pagsasaling umiiral lamang sa loob ng configuration file ay nawawala sa sandaling mapalitan ang file.

Subukan mula sa malayong panig bago i-deploy

Subukan mula sa network na hindi nagho-host ng gateway, dahil ang sariling LAN ng gateway ay nagtatago ng karamihan ng pagkakamali sa routing. Ikonekta ang isang kliyente sa likod ng ordinaryong home router, pagkatapos maabot ang isang serbisyo sa bawat site at isa sa loob ng pool ng kliyente. Subukan din ang kabaligtarang direksyon, mula sa host ng site patungo sa kliyente, dahil independiyenteng nabibigo ang mga daang pabalik. Ang pagsubok na ping lang sa gateway ay nagpapatunay na buhay ang tunnel at wala nang iba.

Panatilihin ang mga hanay, may-ari at mapping ng pagsasalin sa isang shared record na binabasa ng susunod na site bago maglaan ng anuman. Suriin ito kapag may idinagdag na site, at ituring ang hindi dokumentadong hanay bilang depekto at hindi sorpresa.

Ang rekord ang resulta. Ang planong nabubuhay sa alaala ng tatlong tao ay nabibigo sa unang pagkakataong may isa sa kanilang naka-leave, at ang overlap na natuklasan sa production ay mas mahal kaysa sa table.