Сеть на вырост: Как проектировать надежную и масштабируемую IT-инфраструктуру

6. Зафиксируйте компромисс. Для каждого решения напишите, что оно улучшает, чего стоит и какое ограничение оставляет.

Этот разбор быстро показывает, что универсальной топологии нет. Простая звезда может быть отличным выбором для десятка небольших филиалов и плохим — для сети, где каждый филиал постоянно обращается к облаку. Полная mesh может оправдать себя для небольшой группы узлов с жёсткими требованиями к доступности, но стать дорогой и трудноуправляемой при массовом расширении. Leaf-spine может дать удобную основу для плотного обмена между серверами, но не решить проблем внешних каналов или неверно выбранных границ безопасности.

Сеть становится зрелой не тогда, когда на схеме появляются самые сложные фигуры, а когда её форма соответствует реальным потокам и последствиям отказов. «Северный контур» не стал соединять каждый филиал с каждым и не отправил всё через штаб-квартиру. Он разделил роли: кампус объединяет локальные сети, региональные узлы связывают филиалы, дата-центр обслуживает внутренние приложения, облачные сервисы доступны по более короткому пути. Резервирование появилось там, где его цена оправдывалась последствиями простоя.

Перед тем как проектировать адреса и VLAN, стоит добиться ясности в этой карте: какие устройства должны быть соседями по сети, какие — только обмениваться маршрутизируемым трафиком, а какие не должны видеть друг друга вовсе. Именно от этих границ зависит следующий уровень архитектуры.

Адресное пространство и сегментация: IPv4, IPv6, VLAN, подсети и сетевые сервисы

В понедельник утром новый филиал должен был впервые подключиться к корпоративной сети. К полудню сотрудники уже входили в почту, телефоны звонили, принтеры проснулись. Но складская система не открывалась: её сервер находился по адресу, который сеть филиала считала локальным, а головной офис — тоже локальным. Один и тот же адрес оказался по обе стороны туннеля.

Проблема не была в маршрутизаторе и не решалась заменой коммутатора. За несколько лет в разных местах компании адреса назначали «на глаз»: где-то использовали диапазон для новой лаборатории, где-то — «временную» подсеть из старого проекта, а пару принтеров настроили вручную. Теперь соединить площадки оказалось труднее, чем построить между ними канал.

Так сеть предъявляет счёт за адресные решения, принятые без плана. Адресация кажется технической бухгалтерией — пока не начинает определять, какие площадки вообще могут общаться, насколько сложны маршруты, где проходят границы безопасности и сколько времени занимает подключение нового офиса.

Адрес — это не просто номер

У каждого узла в сети должен быть адрес, но хорошая адресная схема делает больше, чем позволяет найти этот узел. Она помогает понять, где он находится, к какой зоне относится и через какие маршруты до него добраться. Если адреса организованы иерархически, их можно объединять в более крупные блоки и объявлять в сети короткие сводные маршруты. Если они разбросаны случайно, маршрутизаторам приходится хранить больше отдельных записей, а инженерам — разбираться в карте, которую никто не рисовал.

Адресация влияет и на безопасность. Когда ноутбуки сотрудников, кассы, камеры, серверы и оборудование управления находятся в одной подсети, сеть не знает, что это разные категории устройств. Их трафик может свободно перемещаться внутри общего сегмента, если его не ограничивают другие механизмы. А когда устройства разделены на осмысленные зоны, между ними можно применять разные правила доступа.

Наконец, адресный план влияет на автоматизацию. DHCP, DNS, мониторинг, инвентаризация и политики безопасности работают надёжнее, когда сеть имеет предсказуемую структуру. Схема, понятная только человеку, который её создал, — не схема, а личная память, уязвимая к отпуску и увольнению.

Шаг 1. Найдите хаос, прежде чем строить порядок

Начинать планирование с выбора красивых диапазонов опасно. Сначала нужно выяснить, что уже используется.

Соберите сведения о площадках, VPN-соединениях, облаках, дата-центрах и сетях, которые могут появиться после слияния с другой компанией. Проверьте адреса маршрутизаторов, серверов, пользовательских устройств и сетевых сервисов. Ищите статические настройки, забытые DHCP-области и подсети, назначенные подрядчиками. Сопоставьте данные маршрутизаторов и DHCP с фактическими сведениями из DNS, систем мониторинга и IPAM — системы учёта адресов. Ни один источник не покажет всей картины, но расхождения между ними быстро обнаружат места, где документация давно отстала от жизни.

Особое внимание уделите пересечениям с удалёнными сетями и облачными платформами. Частный адрес вроде 10.20.4.15 не уникален в масштабе интернета, а значит, его могут одновременно использовать множество организаций. Но внутри вашей сети, её VPN и подключённых облаков он должен быть однозначным. Диапазон 100.64.0.0/10 тоже стоит учитывать отдельно: его используют операторы связи для общего адресного пространства, и это не частный диапазон RFC 1918. Не выбирайте его для корпоративной адресации без чёткой причины и проверки.

И составьте список устройств, которым адреса назначены вручную. «У принтера всегда был такой IP» — не аргумент в пользу архитектуры, но важная улика для миграции. Если адреса вручную прописаны на сотне камер, сначала нужно спланировать, как изменить их настройки, а не просто объявить новый стандарт.

Шаг 2. Спроектируйте структуру блоков

IPv4-адрес состоит из 32 бит; всего это около 4,3 миллиарда адресов, причём часть пространства зарезервирована для специальных целей. На одну организацию такой ёмкости уже не приходится надеяться — поэтому в локальных сетях обычно применяют частные адреса, а доступ в интернет организуют через трансляцию адресов и другие механизмы.

Запись CIDR, например /24, показывает длину сетевой части адреса: чем больше число после косой черты, тем меньше подсеть. Подсеть /24 содержит 256 адресов, из которых в традиционной IPv4-сети обычно 254 доступны узлам; /23 содержит 512 адресов, обычно 510 доступных. В реальном проекте часть диапазона может быть зарезервирована под шлюз, инфраструктуру и особые устройства. Не нужно каждый раз переводить маску в двоичный вид. Важно понять масштаб блока и границы, которые он задаёт.

Простой и масштабируемый план строится от крупного к мелкому:

1. Выберите общий корпоративный диапазон.

2. Выделите отдельные блоки регионам, дата-центрам или типам площадок.

3. Назначьте каждой площадке собственный непрерывный блок.

4. Разделите блок площадки на подсети, соответствующие сетевым зонам.

5. Зафиксируйте, какие адреса отведены под шлюзы, инфраструктуру, DHCP и резервы.

Например, организация может зарезервировать под свои площадки часть частного пространства 10.64.0.0/10. Главный кампус получает 10.64.0.0/16, а восточный регион — блок 10.80.0.0/16. Из регионального блока можно выделять филиалам более мелкие диапазоны. При свёртывании маршрутов множество маршрутов филиалов представляется одним более крупным блоком.

Агрегация уменьшает объём маршрутной информации, но это не волшебство. Если объявить агрегат для диапазона, в котором есть незаполненные или недоступные части, трафик к ним может попасть на сеть, не знающую точного маршрута. Поэтому сводные маршруты нужно проектировать вместе с внутренней маршрутизацией и механизмами обработки недоступных адресов. Агрегация полезна, когда соответствует реальной иерархии сети, а не просто красиво выглядит в таблице.

Шаг 3. Разделите сеть по ролям, а не по случайности

VLAN — это способ разделить канальную сеть на отдельные логические широковещательные домены. Проще говоря, устройства в разных VLAN не ведут себя как участники одной общей локальной сети, даже если подключены к одним и тем же коммутаторам. Чтобы трафик прошёл из одной VLAN в другую, нужен маршрутизируемый путь, а на нём можно применять правила доступа.

Типичная ошибка — считать, что сама VLAN уже обеспечивает полноценную безопасность. Она задаёт границу второго уровня, но не запрещает устройствам взаимодействовать через маршрутизатор. Для этого нужны списки контроля доступа, межсетевой экран или другие механизмы политики. И наоборот: устройства в одной VLAN обычно могут обращаться друг к другу напрямую, если трафик не ограничен дополнительными средствами.

Создавайте сегменты по смыслу и требованиям. Сотрудникам, гостям, голосовым устройствам, серверам, камерам, системам управления и оборудованию здания могут требоваться разные правила. Не обязательно создавать отдельную VLAN для каждой команды или каждого этажа: избыточная сегментация тоже усложняет эксплуатацию. Хороший вопрос для каждой зоны звучит так: «У этих устройств одинаковые требования к доступу, адресации, надёжности и управлению?» Если ответ нет, возможно, им не место в одном сегменте.

Номер VLAN и IP-подсеть часто связаны соглашением, но одно не обязано автоматически кодировать другое. VLAN ID имеет значение в контексте канальной сети, а IP-подсеть — в маршрутизации. Номер VLAN может повторяться на разных площадках, если между ними не растягивают один и тот же второй уровень. Обычно растягивать такие домены через большие расстояния без веской причины не стоит: это связывает площадки сильнее, чем требуется, и увеличивает область последствий некоторых сбоев.

Шаг 4. Закрепите договорённости в рабочей таблице

Ниже — пример, а не универсальный шаблон. Он показывает, как адресный план соединяет площадки, зоны и VLAN в одну систему.

Площадка или блок

VLAN

Назначение

Пример IPv4-подсети

Главный кампус 10.64.0.0/16

10

Пользовательские устройства

10.64.10.0/23

Главный кампус

20

Голосовые устройства

10.64.20.0/24

Главный кампус

30

Серверы

10.64.30.0/24

Главный кампус