传统上，我总是在具有加密 IPSEC 流量（而不是路由）的策略的路由器上将 IPSEC 策略设置为 /24（/16 等）。
从那以后，我开始使用允许将路由设置为通过 VPN 连接路由流量的路由器 (Fortinet)。
例如说我有以下网站：
站点 A：
站点 B：
鉴于我想设置 OSPF 来路由上述子网，我应该为每个路由器分配什么 IP 地址？
我可以为站点到站点链接使用 /30 子网吗？
上述任何其他最佳实践或建议？
是的，对于从路由器到路由器的任何点对点网络，/30 是一个完全有效的选项。如果那个网络恰好是一个 IPsec 隧道，那都是一样的。当然，您必须选择不与网络中的另一个子网和地址重叠的子网和地址。
路由器支持 /31 已经有一段时间了——即使 /31 中的第一个和最后一个地址是网络和广播地址。
通常，OSPF 也能很好地解决这个问题。
您为点对点链接选择的地址完全取决于您的寻址计划。
一些管理员更喜欢选择与任何终端系统的 IP 子网完全无关的 IP 范围，并从那里分配 /30 和 /31，以及 /32 用于环回地址。当网络边缘的流量过滤旨在保护路由器时，这有一些好处；过滤器配置变得非常简单 - 只需添加具有给定 IP 范围的拒绝规则。
就个人而言（现在这是固执己见），我尝试为给定客户的整个 IPv4 网络选择一个更大的块（例如 /18），大到足以覆盖所有客户的站点并留出一些增长空间。然后我会在其末尾或开头分配一个合适的子范围（例如 /23），然后根据需要将其拆分为传输网络，（通常是一些 /28，为两个或三个 HSRP 元组留出空间/VRRP) 和 /30 或 /31 用于点对点和环回 (/32) 地址。这种方法在使用 traceroutes 时，可以帮助终端系统的管理员、支持者以及 newby 网络管理员发现流量开始离开给定客户网络的位置。只要前两个八位字节和更多数字在 traceroute 输出中显示的 IP 地址与在其终端系统上的 IP 地址保持一致，它们可以判断流量是否仍在给定客户的网络内。