AWS VPN: plaaslike en afgeleë CIDR - watter kant is watter?

Jy maak die Site-to-Site VPN-opsies oop, sien twee CIDR-bokse gemerk plaaslik en afgeleë, en gryp na die adres wat jy as plaaslik beskou: die VPC. Dit is die teenoorgestelde van wat die API bedoel. In die verbindingsopsies dui LocalIpv4NetworkCidr die kliëntpoort-kant aan, en RemoteIpv4NetworkCidr dui die AWS-kant aan, want die kliëntpoort is waar die verbinding gebou word. Die konsole sê dit nooit hardop nie, en niks verwerp 'n oortuigende omruiling nie.

Begin by die API-oproep, nie by die konsol-etiket nie

Lees die verwysing vir verbindingsopsies een keer heeltemal deur en let op dat elke opsie vanuit die kliëntpoort se oogpunt geskryf is. Dit is nie 'n toevalligheid van die naamgewing nie. Die tonnel word beskryf soos dit vir die toestel lyk wat dit aan jou kant termineer, dus plaaslik beteken die netwerk agter jou poort en afgeleë beteken die netwerk agter die AWS-poort. Beide IPv4- en IPv6-velde volg dieselfde reël.

Skryf die twee etikette op 'n plaknota voordat jy enigiets intik: kliëntekant, AWS-kant. Pas dan jou adresse daarop toe.

'n Uitgewerkte voorbeeld met die rolle bygevoeg

Veronderstel die plaaslike voorvoegsel is 10.20.0.0/16 en die VPC-voorvoegsel is 10.60.0.0/16. Die opsies lees presies soos die rolle voorstel, met die plaaslike reeks in die plaaslike veld:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Gee nou dieselfde paar aan wie ook al die eweknie-toestel opstel, en kyk hoe die lokval toeslaan. Op baie firewalls beteken plaaslik die koppelvlak waarop die tonnel termineer, en afgeleë beteken die verre kant, wat vir die AWS-kant die omgekeerde kartering is. Albei mense kan korrek wees en steeds 'n tonnel lewer wat nooit voltooi nie, want die twee woordeskatte beskryf verskillende eindpunte.

Herhaal die oefening in die eweknie se terminologie op papier, met albei CIDR's en albei etikette, voordat enige toestel aangeraak word.

Verstekwaardes is nie 'n ontwerp nie

Dieselfde verwysing lys 0.0.0.0/0 as die verstek vir albei IPv4-velde, met soortgelyke IPv6-waardes. Om daardie waardes in 'n bestaande verbinding te sien, sê vir jou dat die veld nooit vernou is nie, nie dat 'n internetuitgang opgestel is nie. Roeteverspreiding, die subnet-roetetabel en die sekuriteitskontroles besluit steeds watter verkeer werklik kan oorsteek; die CIDR-waardes beskryf net watter reekse die tonnel bereid is om te kies.

Om 'n nouer waarde met die verstek te vervang is dus nie 'n versoenbaarheidstruuk wat jy kan toepas wanneer 'n tonnel foutief optree nie. Dit verbreed die keurder en laat elke ander laag presies soos dit was.

Die eweknie-toestel gebruik die ander oogpunt

Sodra die AWS-kant duidelik is, is die eweknie-konfigurasie waar die meeste van die oorblywende verwarring sit. 'n Toestel wat om 'n plaaslike netwerk en 'n afgeleë netwerk vra, beskryf sy eie koppelvlak as plaaslik, dus jou VPC-reeks gaan in sy afgeleë veld en jou plaaslike reeks gaan in sy plaaslike veld. As dit eerder om verkeerskeurders in pare vra, skryf jy albei rigtings eksplisiet en die etikette maak minder saak as die paring.

Lees die toestel se veldhulp eerder as sy veldname. Verkopers hergebruik dieselfde twee woorde vir drie verskillende begrippe.

Kontroleer dan die tonnelstatus vir albei fases, want 'n stemmende keurder wys gewoonlik as 'n fase-twee-fout terwyl fase een gelukkig gevestig bly.

Verander die opsies soos 'n verandering, nie soos dokumentasie nie

Die redigering van verbindingsopsies op 'n lewendige VPN kan diens onderbreek, so hanteer dit as 'n onderhoudsaksie met 'n venster, 'n terugrolwaarde en 'n nota van wie geraak word. Teken eers die huidige opsies op, insluitend albei CIDR-velde en die tonnelopsies, sodat 'n terugdraai 'n plak is eerder as 'n herkonstruksie.

Kontroleer ná die verandering van die AWS-kant en van die eweknie: 'n bron in elke reeks wat 'n bestemming in die ander bereik, in albei rigtings. 'n Enkele ping van een kant bewys een keurder.

Werk dan die verbindingsdokumentasie by met die rolle uitgeskryf, sodat die volgende persoon nie weer hoef te ontdek dat plaaslik joune beteken nie.