Ile adresów IP naprawdę potrzebuje sieć 50 placówek?

Zapytaj architekta sieci, ile adresów IP potrzebuje infrastruktura obejmująca pięćdziesiąt placówek, a usłyszysz pytanie zwrotne: pięćdziesiąt czego? Placówka to lokalizacja albo wydzielony segment, a nie jedno urządzenie. Każda z nich zjada blok przestrzeni adresowej, a nie pojedynczy adres. W rozmowach o planowaniu często zlewają się też trzy osobne pule: prywatna przestrzeń wewnętrzna za brzegiem sieci, publiczna przestrzeń routowalna widoczna z internetu oraz adresacja WAN, którą operator przydziela do każdego łącza.

Prawdziwe pytanie brzmi więc, ile przestrzeni zarezerwować. Adresacja staje się elementem nośnym w chwili, gdy zaczynają od niej zależeć protokoły routingu, obiekty na firewallach i zakresy DHCP. Zła rezerwacja kończy się porażką w jednym z dwóch kierunków. Za mała oznacza projekt przenumerowania, który dotyka każdego systemu przechowującego adres. Zdecydowanie za duża sprawia, że prefiksy się rozpraszają, a tablice routingu zapełniają się wpisami, które źle się sumaryzują. Ta sama rezerwacja musi objąć warstwy usługowe, na przykład reverse proxy, które wiele placówek stawia przed swoimi aplikacjami, a te rodzą własne pytania o czas odpowiedzi reverse proxy.

Jak zbudować bazową liczbę adresów na placówkę

Zanim wybierzesz choćby jedną maskę podsieci, zrób spis tego, co w typowym oddziale faktycznie zużywa adres. Lista jest dłuższa, niż przyznaje większość arkuszy kalkulacyjnych, i po cichu rośnie, w miarę jak w budynkach przybywa czujników, ekranów i czytników kart. Każdą klasę urządzeń opisz prostą, opisową etykietą, z tą samą dyscypliną, jakiej wymaga pisanie czytelnych tekstów kotwic, żeby każdy, kto czyta Twój plan adresacji IP, wiedział, na co wskazuje dany wpis.

• Infrastruktura: interfejsy routerów, interfejsy firewalli, adresy zarządzania przełącznikami, kontrolery sieci bezprzewodowej i punkty dostępowe, zasilacze awaryjne.
• Urządzenia przewodowe: komputery stacjonarne, telefony VoIP, drukarki, urządzenia wielofunkcyjne, systemy w salach konferencyjnych.
• Urządzenia bezprzewodowe: laptopy, tablety, skanery ręczne, telefony pracowników zapisane do firmowego SSID.
• Goście i IoT: urządzenia odwiedzających, kamery, kontrolery drzwi, HVAC i sprzęt do zarządzania budynkiem, ekrany informacyjne.
• Zarządzanie i out-of-band: serwery konsolowe, interfejsy zdalnej obsługi, sondy monitoringu.

Adresy infrastruktury są statyczne i trwałe. Liczba urządzeń końcowych zmienia się wraz z zatrudnieniem, grafikiem zmian i liczbą gości, którzy wchodzą do budynku. Oto rzecz, którą wiele osób pomija: rozmiar zakresu DHCP wynika ze szczytowej liczby urządzeń podłączonych jednocześnie, a nie z liczby pracowników. Jedna osoba może bez trudu przyjść z laptopem, telefonem z softphonem i zestawem słuchawkowym, który rejestruje się samodzielnie. Gdy liczby są już znane, kolejne pytanie brzmi, jak daleko od siebie leżą podsieci.

Wskazówka: dobierz zakres do najbardziej obciążonej godziny najbardziej obciążonego dnia, a potem dodaj zapas na nakładanie się dzierżaw, żeby urządzenia przechodzące przez krótkie dzierżawy nie wyczerpały puli.

Prywatna przestrzeń adresowa i arytmetyka podziału na podsieci

RFC 1918 daje trzy zakresy do użytku wewnętrznego, a każdy z nich oferuje zupełnie inną ilość miejsca. 10.0.0.0/8 to największe płótno i najczystsza hierarchia dla infrastruktury wielu placówek. 172.16.0.0/12 leży pośrodku. 192.168.0.0/16 jest tym ciasnym, a do tego to zakres, który domyślnie ustawia każdy sprzęt konsumencki na świecie. Nie jest to ideał. Arytmetyka hostów jest prosta i zupełnie bezlitosna: /24 daje 254 adresy użytkowe po odjęciu adresu sieci i rozgłoszeniowego, a każdy dodatkowy bit prefiksu zmniejsza resztę o połowę. /25 daje 126. /26 daje 62.

Jednakowy blok na placówkę ułatwia pracę operacyjną, nawet gdy oddziały bardzo różnią się wielkością. Przewidywalne granice czysto się sumaryzują, tablice routingu pozostają krótkie, a reguły firewalla czytelne. Potem segmentacja mnoży wszystko: głos, goście, bezpieczeństwo fizyczne i zarządzanie chcą mieć własną podsieć, więc jedna lokalizacja może skończyć z pięcioma lub sześcioma osobnymi sieciami zamiast jednego płaskiego zakresu. Jeśli każda z tych lokalizacji prowadzi też własną stronę internetową, to samo myślenie o skali dotyczy wyszukiwarek, a budżet indeksowania małych stron warto sprawdzić, zanim sieć urośnie.

Wskazówka: najpierw przydzielaj adresy według granic VLAN-ów i pozwól, by liczba hostów z nich wynikała, zamiast wymiarować płaską podsieć i później dorabiać segmentację. Przydzielenie ciągłych bloków na region pozwala wtedy użyć jednej trasy zagregowanej tam, gdzie inaczej pojawiłyby się dziesiątki szczegółowych wpisów.

Gdzie publiczne IPv4 jest nadal naprawdę potrzebne

Sumy wewnętrzne i sumy publiczne to dwa różne rachunki. Większość ruchu z oddziałów wychodzi przez NAT i nigdy nie potrzebuje własnego adresu routowalnego, dlatego liczba adresów publicznych dla infrastruktury pięćdziesięciu placówek zwykle okazuje się ułamkiem liczby wewnętrznej. Rzeczywiste potrzeby skupiają się wokół krótkiej listy:

• Usługi dostępne z internetu hostowane na miejscu, a nie w centrum danych czy regionie chmury.
• Punkty końcowe VPN site-to-site, gdy druga strona wymaga stałego adresu.
• Infrastruktura pocztowa, której reputacja nadawcy jest związana z konkretnym adresem.
• Bramy zdalnego dostępu i każde urządzenie, które musi przyjmować połączenia przychodzące.

Operatorzy coraz częściej przydzielają łączom oddziałowym adresację dynamiczną albo chowają je za NAT-em klasy operatorskiej. To po cichu zabija osiągalność z zewnątrz i psuje wszystko, co oczekiwało stałego adresu drugiej strony. Niedobór pogarsza sprawę: ceny na rynku transferów i miesięczne opłaty za dzierżawę zmieniają publiczne IPv4 w pozycję budżetową, a nie coś darmowego.

Wskazówka: zanim zamówisz wszędzie adresację statyczną, sprawdź, które lokalizacje naprawdę potrzebują osiągalności z zewnątrz, bo większość jej nie potrzebuje.

Nakładanie się adresacji, przejęcia i koszt przenumerowania

Klasyczna kolizja pojawia się przy fuzji albo połączeniu z partnerem. Dwie organizacje albo dwóch dostawców usług zarządzanych przyjęło domyślnie tę samą popularną podsieć prywatną i teraz routing między nimi po prostu nie jest możliwy bez czyjejś interwencji. NAT między nakładającymi się sieciami wewnętrznymi to obejście, a nie naprawa. Ukrywa prawdziwe adresy źródłowe w logach, zamienia diagnostykę w mękę i dezorientuje każdą aplikację, która umieszcza adresy w przesyłanych danych lub odesłaniach.

Nakład pracy na przenumerowanie jest stale niedoszacowany, bo tak wiele rzeczy zmienia się jednocześnie. Zakresy DHCP, rekordy DNS, obiekty firewalla, listy kontroli dostępu, cele monitoringu, zadania kopii zapasowych, adresy wpisane na sztywno w aplikacjach, a do tego każdy diagram i każda instrukcja operacyjna - wszystko to przesuwa się razem, zwykle w oknie zmian, za które nikt nie chce odpowiadać.

Wskazówka: trzymaj kluczowe placówki z dala od najczęściej używanych domyślnych zakresów prywatnych, zostawiając wolną drogę dla przyszłych połączeń z partnerami i przejmowanymi firmami.

Rezerwacja przestrzeni adresowej na etapie projektu nie kosztuje prawie nic. Odzyskiwanie jej później kosztuje budżet projektowy, godziny weekendowe i ryzyko operacyjne. To jest uzasadnienie dla przydziałów, które na papierze wyglądają hojnie.

IPv6 i wymiarowanie dual-stack dla infrastruktury wielu placówek

IPv6 zmienia całe ćwiczenie. Ograniczeniem przestaje być liczba hostów, a staje się liczba podsieci, bo /64 trafia na każdy segment niezależnie od tego, czy siedzą w nim trzy urządzenia, czy trzysta. Planowanie zamienia się w pracę nad hierarchią: weź przydział od dostawcy lub rejestru, podziel go według regionu, potem placówki, potem segmentu i utrzymuj każdy poziom wyrównany i spójny.

To w dual-stack pojawia się faktyczny koszt. Dwa plany adresacji, dwa zestawy reguł firewalla, dwa typy rekordów DNS i dwa widoki monitoringu działają obok siebie przez cały okres przejściowy. Luka w jednym stosie to dziura w zabezpieczeniach, nawet gdy drugi jest szczelny.

Wskazówka: projektuj przydziały IPv6 na granicach półbajtów, żeby prefiksy dało się odczytać na pierwszy rzut oka, a delegacja odwrotnego DNS pozostała prosta.

Warto zaznaczyć jeszcze jedno: IPv6 zdejmuje presję na zaniżanie rozmiaru podsieci. A właśnie ten nawyk zaniżania prowadzi do projektów przenumerowania IPv4 kilka lat po wdrożeniu.

Zapas na wzrost, dokumentacja i zarządzanie adresacją

Planuj pod horyzont czasowy, a nie pod dzisiejsze zapełnienie. Placówki rosną, zagęszczenie sieci bezprzewodowej i IoT zwiększa się z roku na rok, a projekty i wydarzenia przynoszą chwilowe skoki, których ciasno dopasowany zakres nie pomieści. To zasady zarządzania sprawiają, że ten zapas po cichu nie wyparowuje:

1. Prowadź jeden wiarygodny rejestr adresów, któremu wszyscy ufają.
2. Przydzielaj według udokumentowanego schematu, a nie doraźnie, zależnie od inżyniera.
3. Zapisuj cel i właściciela każdego wydanego bloku.
4. Formalnie odzyskuj przestrzeń, gdy placówka jest zamykana albo segment wycofywany.
5. Przeglądaj wykorzystanie w stałym cyklu, a nie podczas incydentów.

Arkusze kalkulacyjne przy tej skali się rozsypują. Nie wykrywają konfliktów, nie weryfikują stanu faktycznego i nie śledzą historii. Platforma do zarządzania adresami IP daje wykrywanie konfliktów, integrację z DHCP i DNS, ślady audytowe oraz delegowane uprawnienia do przydziałów.

Wskazówka: traktuj nieprzydzieloną przestrzeń jako zarezerwowaną pojemność z udokumentowanym procesem zwalniania, a nie jako wolny teren, który każdy może zająć.

Wskazówka: zapisuj założenie dotyczące wzrostu obok każdego przydziału, żeby następny inżynier rozumiał, dlaczego blok wygląda na zbyt duży, zamiast go odzyskiwać.

Jak złożyć te liczby w całość

To, co tutaj powstaje, to metoda, a nie jedna liczba. Policz segmenty, których potrzebuje każda placówka. Każdy segment zwymiaruj według szczytowej liczby urządzeń podłączonych jednocześnie, z zapasem wybranym świadomie. Pomnóż przez wszystkie pięćdziesiąt lokalizacji, a potem dodaj adresację infrastruktury, łącza tranzytowe punkt-punkt i interfejsy loopback routerów. Zapotrzebowanie na publiczne IPv4 wynika z tego samo i powinno być uzasadnione usługa po usłudze, bo zwykle stanowi niewielką część sumy wewnętrznej. Decyzje o rozmiarach wracają później, gdy na stole pojawia się przeniesienie sieci na nowe adresy IP.

Plan opiera się na czterech priorytetach projektowych: przewidywalnych blokach na placówkę, agregatach regionalnych, które czysto się sumaryzują, świadomym unikaniu domyślnych zakresów podatnych na nakładanie się oraz równoległym schemacie IPv6 budowanym od pierwszego dnia. Planowanie adresacji przypomina znacznie bardziej dyscyplinę zarządczą niż obliczenie techniczne i zwraca się przy fuzjach, audytach i rozbudowie. Jeśli zrobisz to źle, kosztu nie mierzy się w adresach. Mierzy się go w projektach przenumerowania. To ryzyko przenumerowania zaczyna się pierwszego dnia, bo nawet reputacja używanej wcześniej przestrzeni adresowej może pójść za zupełnie nową stroną na produkcję.

Czytaj też:

• Opłata za publiczny IPv4 w 2024: co oznacza płacenie za każdy adres
• Reverse DNS i rekordy PTR: footprint, który większość sieci ignoruje
• Mit, że IPv6 czyni różnorodność IPv4 zbędną w link buildingu
• Jak wygląda czysta pula IP, zanim ją kupisz