Saytlararo VPN uchun manzil maydonini qanday o‘lchamlash kerak

VPN quyi tarmog‘i qanchalik katta bo‘lishi kerakligini so‘rang va halol javob shuki, savol ichida to‘rtta turli quyi tarmoq bo‘lishi mumkin. Sayt VPNi transport chekka nuqtalarini, raqamlangan tunnel ulanishlarini, himoyalangan LAN prefikslarini va boshqariladigan shlyuzlarda provayder ajratadigan infratuzilma quyi tarmog‘ini qamrab olishi mumkin. Muayyan loyihada ulardan faqat bittasi yoki ikkitasi bo‘ladi. Ularni ofis qurilmalari sonidan kelib chiqib o‘lchamlash rejaning hech kimni qanoatlantirmaydigan /24 bilan tugashining yo‘lidir.

Biror narsa ajratishdan oldin to‘rtta rolni nomlang

Transport chekka nuqtalari — ikki shlyuz internet yoki xususiy liniya orqali bir-biriga yetib borish uchun ishlatadigan manzillar, ularning soni esa LANdan emas, shlyuz va zaxira modelidan kelib chiqadi. Ichki tunnel ulanishlari faqat loyiha nuqtadan-nuqtaga interfeysni raqamlagan joyda mavjud bo‘ladi; siyosatga asoslangan IPsec konfiguratsiyasi odatda buni qilmaydi. Himoyalangan prefikslar marshrutlanadigan haqiqiy ofis yoki VPC tarmoqlaridir, provayder ajratgan quyi tarmoq esa boshqariladigan xizmatga tegishli.

Biror narsa qo‘shishdan oldin mavjudini inventarizatsiya qiling, chunki bu yerda qimmat xato — allaqachon boshqa joyda marshrutlanayotgan prefiksni qayta ishlatish. Pilot loyihadan qolgan eski tunnel rejani zaharlash uchun yetarli. Inventarni sanalar bilan yozib qo‘ying, chunki foydalanishdan chiqarilgan ulanish xotirasi ulanishning o‘zidan uzoq yashaydi.

ip -br addr show
ip route show | head -40

Bu ikki buyruq ulangan tarmoqlar va ularning ortidagi hamma narsaga yetib boradigan marshrutlarning mahalliy ko‘rinishini beradi. Inventarni har bir saytda takrorlang, chunki bir sayt chiqishi asosida qurilgan reja keyingisining chiqishi bilan to‘qnashadi. Bitta blok ajratishdan oldin chiqishlarni to‘plang.

Qurilmalarni emas, ulanishlar va topologiyani sanang

Sakkiz nuqtadan-nuqtaga qo‘shnilikka ega loyiha sakkiz blok sarflaydi, bitta emas. /30 da har bir blok ikki hostni ulash uchun to‘rt manzil sarflaydi, shuning uchun reja o‘n olti foydali chekka nuqta uchun o‘ttiz ikki manzil olib yuradi va byudjet ko‘tarishi kerak bo‘lgan raqam shu. /31 ulanishlarini qo‘llab-quvvatlaydigan platforma buning yarmini sarflaydi, lekin faqat ikki tomon va xizmat shu modelga rozi bo‘lsa. Byudjetni pastga emas, yuqoriga yaxlitlang, chunki blokni keyinroq kichraytirish tirik ulanishlarni qayta raqamlashni anglatadi.

Provayder cheklovlari umumiy amaliyotdan ustun. Hujjatlashtirilgan ichki tunnel diapazoni routerlaringizda /31 ishlaydigan joyda ham /30 talab qilishi mumkin, boshqariladigan shlyuz esa o‘z quyi tarmog‘i uchun muayyan maska talab qilishi mumkin. Boshqa platformadan olingan amaliy qoidani qo‘llashdan oldin xizmat talabini o‘qing.

Ko‘p nuqtali qatlam arifmetikani yana o‘zgartiradi: har bir shlyuzga bitta manzil, ular orasidagi yetib borishni qatlam o‘z zimmasiga oladi. Saytlarni blok o‘lchamiga ko‘paytirishdan oldin amalga oshirish aslida qaysi topologiyani ishlatishini hal qiling.

O‘sish rejada o‘z satriga loyiq. Izchil infratuzilma diapazonini ajratish o‘rinli, uning ichida qaysi kichikroq taqsimotlar borligini qayd etish ham shunday, toki keyingi muhandis ajratmani bitta eshittirish domeni deb o‘qimasin.

Shlyuz quyi tarmog‘ini LAN hovuzidan tashqarida saqlang

Boshqariladigan shlyuz infratuzilmasi mijozlar hovuzi emas. Ajratilgan shlyuz quyi tarmog‘idagi manzillar xizmatning o‘z komponentlarini joylashtiradi va masofaviy xodimlar hech qachon ulardan olmaydi. O‘sha quyi tarmoqni foydalanuvchilar sonidan o‘lchamlash yo katta diapazonni isrof qiladigan, yo shlyuzni och qoldiradigan kategoriya xatosidir.

Xuddi shu narsa bulut VPN ulanishlaridagi tunnel diapazonlariga ham tegishli; u yerda provayder har bir tunnel uchun o‘z foydalanishiga kichik ichki diapazon ajratadi. Bu diapazon filial serverlaringiz yashaydigan joy emas va uni tarqatish sizga tegishli emas.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Tashqi manzillarni sanab chiqish provayder nima ajratganini va qaysi zaxira tunnel hozir faol ekanini tasdiqlaydi. Bu ulanish mavjud bo‘lishidan oldin yozilgan loyiha hujjatini o‘qishdan tezroq.

Har bir prefiks uchun rol, egasi va o‘sishni qayd eting

Operatsiya bilan aloqadan omon qoladigan reja har bir prefiks uchun u qanday rol o‘ynashini, uzoq uchni kim ajratishini va qancha zaxira qolganini aytadi. Egasi maydoni bo‘lmasa, ikki jamoa bir chorakda bir xil /24 ni ajratadi va to‘qnashuv faqat tunnel ko‘tarilganda oydinlashadi.

Bu diapazonlarni boshqa tunnellardan keladigan uy va filial prefikslaridan uzoq tuting, chunki manzil maydonining ustma-ust tushishi saytlararo ulanishning muvaffaqiyatli kelishib, keyin hech qanday trafik o‘tkazmasligining odatiy sababidir.

Ichki ulanish manzillarini ajratish ularning ortidagi LANlarni e’lon qilmaydi. Marshrutlar yoki trafik selektorlari, qaytish yo‘llari va kirish qoidalari alohida ish bandlaridir va reja raqamlangan interfeys marshrutlashni siz uchun bajaradi deb ishora qilish o‘rniga buni aytishi kerak.