Planuhin ang mga subnet bago ang site VPN: muling bilangin o isalin

Dalawang opisina ang parehong gumagamit ng 192.168.1.0/24 dahil walang nagplano ng iba, at inaasahang ang tunnel ang mag-aayos nito. Hindi nito kaya: hindi kayang gawin ng router na ang parehong pribadong address ay mangahulugan ng dalawang magkaibang lugar. Ang gawaing pumipigil dito ay nangyayari bago i-type ang unang parameter ng tunnel.

Iimbentaryo ang bawat saklaw, kabilang ang mga nakalimutan mo

Tipunin ang mga LAN, segment ng server, pool ng kliyente para sa remote access, saklaw ng VPC sa cloud at anumang container o overlay network na kailangang maabot ng mga host. Ang mga pool ng kliyente ang madalas makalimutan, at madalas silang mag-overlap sa saklaw ng opisina dahil pareho silang pinili mula sa parehong default. Isama ang management network at anumang out-of-band segment.

Itala ang may-ari, gateway, layunin at kung kailangang maabot ang prefix mula sa kabilang site. Ang prefix na hindi kailangang tumawid sa tunnel ay hindi kailangang maging kakaiba, at ang pag-alam nito ay nagpapababa ng gawain sa muling pagbilang.

Gawin ang IPv6 nang hiwalay, dahil ang plano at ang mga overlap nito ay magkahiwalay.

Ihambing ang mga prefix, hindi ang pamilyar na address

Dalawang network na may magkaibang host address ay maaari pa ring mag-overlap, dahil ang overlap ay katangian ng mask at hindi ng mga numerong natatandaan ng tao. Ang 10.20.0.0/16 ay naglalaman ng 10.20.30.0/24 sabihin man ito ng kahit sino nang malakas o hindi. Ihambing ang buong pares ng prefix, at suriin ang mga aggregate laban sa mas maliliit na network sa loob nila. Kaya nga ang pagsusuring ito ay nabibilang sa spreadsheet at hindi sa ulo ng sinuman.

Ang parehong pagsusuri ay nalalapat sa sariling pool ng kliyente ng VPN at sa anumang isinaling saklaw na balak mong ipakilala, dahil ang isinaling saklaw na bumabangga ay mas malala kaysa sa orihinal na overlap.

Sapat na ang talahanayan ng mga prefix na may mask; ang diagram na walang mask ay hindi.

Magpasya kung ano talaga ang dapat tumawid

Ang isang site ay maaaring maglaman ng tatlumpung subnet habang ang isang service network ay nangangailangan ng remote access. Magsimula sa pangangailangang iyon at ihayag lamang ang kailangan nito, dahil ang mas maliliit na anunsyo at tugmang access rules ay mas madaling suriin at mas mahirap palawakin nang aksidente. Ang pag-anunsyo ng bawat pribadong saklaw na ginagamit ay ugali na ginagawang tulay ang tunnel. Kung mas makitid ang anunsyo, mas maliit ang radius ng epekto ng susunod na pagkakamali.

Ang pribadong DNS ay dapat magbalik ng mga address na naaabot ng mga inilaan na kliyente, kaya ang pangalang tumuturo sa isang hindi inanunsyo o nag-overlap na saklaw ay nananatiling sira kahit magtagumpay ang paghahanap.

Isulat ang access list bago ang configuration ng tunnel, hindi pagkatapos nitong mabigo.

Muling bilangin o isalin, at alamin ang gastos

Ang muling pagbilang ng isang network ay karaniwang ang pinakamalinaw na pangmatagalang lunas, at tinatamaan nito ang mga reserbasyon, device, DNS, firewall rules at anumang bagay na may address na nakabaon sa configuration. Ang pagsasalin ng access range ay ang alternatibo kapag hindi praktikal ang muling pagbilang, at nagkakahalaga ito ng source identity at isang klase ng protocol na naglalagay ng address sa payload. Pumili ng isa at tapusin ito, dahil ang kalahating naibalik na network ay mas malala kaysa sa alinman sa dalawang opsyon.

Anuman ang piliin mo, idokumento ang orihinal at ang ipinakitang address, dahil kailangan ng bawat susunod na usapan sa pag-troubleshoot ang dalawa.

Ang solusyong walang daan pabalik ay hindi solusyon.

Gamitin ang route matrix bilang acceptance test

Tapusin sa isang matrix: lokal na prefix, malayong prefix, pinapayagang serbisyo at return gateway. Ang talahanayang iyon ang acceptance test kapag bumangon ang tunnel, at ito rin ang dokumentong babasahin ng susunod na inhinyero. Subukan mula sa tunay na host sa mga piniling subnet at hindi mula sa mga gateway.

Ang ping sa pagitan ng mga address ng tunnel ay nagpapatunay na may tunnel at wala tungkol sa plano ng address sa likod nito.

Itago ang matrix kasama ng configuration ng tunnel, at ang susunod na pagdaragdag ng site ay magsisimula sa data at hindi sa memorya. Sinasaklaw ng gabay ng strongSwan sa pagpapasa ang panig ng gateway kapag may plano na.