Cách tính không gian địa chỉ cho VPN giữa các chi nhánh

Hãy hỏi mạng con VPN nên lớn cỡ nào và câu trả lời trung thực là trong câu hỏi có thể có bốn mạng con khác nhau. VPN chi nhánh có thể liên quan đến điểm cuối vận chuyển, liên kết đường hầm được đánh số, tiền tố LAN được bảo vệ và, trên các cổng được quản lý, một mạng con hạ tầng do nhà cung cấp giữ lại. Trong một thiết kế cụ thể chỉ có một hoặc hai trong số đó tồn tại. Tính chúng theo số thiết bị văn phòng là cách một kế hoạch kết thúc với /24 không làm hài lòng ai.

Đặt tên bốn vai trò trước khi bạn cấp phát bất cứ thứ gì

Điểm cuối vận chuyển là địa chỉ mà hai cổng dùng để đến với nhau qua internet hoặc một mạch riêng, và số lượng của chúng đến từ mô hình cổng và dự phòng, không phải từ LAN. Liên kết đường hầm nội bộ chỉ tồn tại ở nơi thiết kế đánh số một giao diện điểm-tới-điểm, điều mà cấu hình IPsec dựa trên chính sách thường không làm. Tiền tố được bảo vệ là các mạng văn phòng hoặc VPC thật phải định tuyến được, còn mạng con do nhà cung cấp giữ thuộc về dịch vụ được quản lý.

Kiểm kê những gì đã tồn tại trước khi thêm bất cứ thứ gì, vì sai lầm đắt giá ở đây là dùng lại một tiền tố đã được định tuyến ở nơi khác. Một đường hầm cũ từ dự án thí điểm là đủ để làm hỏng một kế hoạch. Ghi lại bản kiểm kê kèm ngày tháng, vì ký ức về một liên kết đã ngừng hoạt động sống lâu hơn chính liên kết đó.

ip -br addr show
ip route show | head -40

Hai lệnh đó cho cái nhìn cục bộ về các mạng đã kết nối và về các tuyến đến mọi thứ bên ngoài chúng. Lặp lại việc kiểm kê ở từng chi nhánh, vì một kế hoạch dựng từ đầu ra của một chi nhánh sẽ xung đột với đầu ra của chi nhánh tiếp theo. Hãy thu thập các đầu ra trước khi bạn cấp phát một khối duy nhất.

Đếm liên kết và cấu trúc liên kết, không đếm thiết bị

Một thiết kế với tám quan hệ lân cận điểm-tới-điểm tiêu tốn tám khối, không phải một. Ở /30 mỗi khối tiêu bốn địa chỉ để nối hai máy chủ, nên kế hoạch mang ba mươi hai địa chỉ cho mười sáu điểm cuối dùng được, và đó là con số mà ngân sách phải chịu. Một nền tảng hỗ trợ liên kết /31 tiêu tốn một nửa, nhưng chỉ khi cả hai đầu và dịch vụ đồng ý với mô hình đó. Hãy làm tròn ngân sách lên thay vì xuống, vì thu nhỏ một khối về sau nghĩa là đánh số lại các liên kết đang chạy.

Ràng buộc của nhà cung cấp thắng thông lệ chung. Một dải đường hầm nội bộ đã được ghi tài liệu có thể yêu cầu /30 ngay cả nơi /31 chạy trên router của bạn, và một cổng được quản lý có thể đòi một mặt nạ cụ thể cho mạng con của chính nó. Hãy đọc yêu cầu dịch vụ trước khi áp dụng một quy tắc kinh nghiệm vay mượn từ nền tảng khác.

Một lớp phủ đa điểm lại thay đổi số học: một địa chỉ mỗi cổng, với lớp phủ đảm nhận khả năng tiếp cận giữa chúng. Hãy quyết định cấu trúc liên kết nào được triển khai thực sự dùng trước khi nhân số chi nhánh với kích thước khối.

Tăng trưởng xứng đáng có dòng riêng trong kế hoạch. Dành một dải hạ tầng liền mạch là hợp lý, và việc ghi lại những cấp phát nhỏ hơn nằm trong đó cũng vậy, để kỹ sư tiếp theo không đọc dải dành riêng như một miền quảng bá duy nhất.

Giữ mạng con cổng ra ngoài nhóm LAN

Hạ tầng của một cổng được quản lý không phải nhóm máy khách. Các địa chỉ trong mạng con cổng được dành riêng lưu trữ các thành phần của chính dịch vụ, và nhân viên từ xa không bao giờ lấy từ đó. Tính mạng con đó theo số người dùng là lỗi phân loại, hoặc lãng phí một dải lớn hoặc bỏ đói cổng.

Điều tương tự áp dụng cho các dải đường hầm trên kết nối VPN đám mây, nơi nhà cung cấp cấp một dải nội bộ nhỏ cho mỗi đường hầm để dùng riêng. Dải đó không phải nơi đặt máy chủ chi nhánh của bạn, và nó không thuộc quyền bạn chia ra.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Liệt kê các địa chỉ bên ngoài xác nhận nhà cung cấp đã cấp gì và đường hầm dự phòng nào đang hoạt động. Việc đó nhanh hơn đọc một tài liệu thiết kế viết trước khi kết nối tồn tại.

Ghi lại vai trò, chủ sở hữu và tăng trưởng cho từng tiền tố

Một kế hoạch sống sót qua tiếp xúc với vận hành nêu rõ, với từng tiền tố, nó đóng vai trò gì, ai cấp đầu xa và còn bao nhiêu dư địa. Không có trường chủ sở hữu, hai nhóm cùng cấp một /24 trong cùng một quý, và xung đột chỉ lộ ra khi đường hầm được dựng lên.

Giữ các dải này tránh xa tiền tố nhà riêng và chi nhánh đến qua các đường hầm khác, vì không gian chồng lấn là lý do thường gặp khiến một kết nối giữa các chi nhánh thương lượng thành công rồi không truyền lưu lượng nào.

Việc cấp địa chỉ liên kết nội bộ không quảng bá các LAN phía sau chúng. Tuyến hoặc bộ chọn lưu lượng, đường trả về và quy tắc truy cập là các hạng mục công việc riêng, và kế hoạch nên nói rõ điều đó thay vì ngụ ý rằng một giao diện được đánh số làm việc định tuyến thay bạn.