Veelvuldige LAN's op een AWS VPN-tonnel: wat die SA-limiet beteken
AWS laat een IPsec-SA-paar per tonnel toe, en dit is nie 'n een-subnet-limiet nie. Skei eers die beskermingsomvang van roetering en toegang.
Om 'n tweede tak-LAN by 'n AWS Site-to-Site VPN te voeg, vereis nie 'n tweede onafhanklike IPsec-assosiasie binne daardie tonnel nie. Die limiet waaroor mense struikel is werklik, maar smaller as wat dit klink: AWS dokumenteer een unieke IPsec-SA-paar per tonnel, een inkomend en een uitgaand, en die twee tonnels in 'n verbinding kry elk hulle eie paar. Dit is 'n eienskap van die diens, nie 'n reël dat IPsec een subnet op 'n slag beskerm nie. Die onderskeid maak die meeste saak wanneer 'n beleidsgebaseerde klantpoort elke beleidinskrywing in sy eie assosiasie verander.
Begin met die verbinding, nie met die LAN-lys nie
Maak die verbinding in die konsole oop en let op hoe dit gerouteer word. 'n Statiese verbinding dra die afgeleë voorvoegsels wat jy verklaar het. 'n BGP-verbinding leer hulle by die klantpoort.
Of dit nou so is, die tonnel is roetegebaseerd. Wat binne-in dit gaan, word deur die selektors bepaal wat jou toestel onderhandel, nie deur die aantal subnette wat jy in 'n vorm kan intik nie.
Let op wat die klantpoort onderhandel
’n Beleidsgebaseerde toestel kan elke beleidinskrywing in sy eie SA verander. Twee LAN's beteken twee inskrywings, wat twee SA's beteken, en dit is waar die limiet per tonnel begin saak maak. klantpoort-vereistes waarsku juis teen hierdie gedrag en stel saamgevoegde reëls op daardie toestelle voor. Kyk na die onderhandelde selektors eerder as na die ACL-telling op die toestel.
Die toestel moet gekonfigureer wees om beide voorvoegsels onder een enkele beleid aan te bied, anders kan die verre kant die resultaat eenvoudig nie hou nie.
Drie inventarisse, apart gehou
Meng hierdie drie lyste en elke verandering word raaiwerk. Hou hulle as aparte kolomme en vul elkeen in vir jou eie netwerk.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Net die middelste kolom word deur die SA-limiet beperk. Die eerste kolom is 'n besigheidfeit, en die derde kolom is wat 'n toepassing laat werk. Lees die aanvaarde selektors op die toestel eerder as om dekking af te lei uit die aantal ACL-reëls wat jy geskryf het.
Konsolideer sonder om toestemming te verbreed
'n Opsommingroete is die ooglopende manier om een beleidinskrywing te kry, en dit is ook hoe 'n beskermde stel stilweg groei. 'n /20 wat beide /24's dek, dek ook adresse wat nie een van die takke gebruik nie, en die tonnel sal hulle graag dra. As jy moet opsom, koppel dit aan filtering aan die ontvangkant sodat die ekstra ruimte geweier word eerder as bloot nie geadverteer nie. 'n Geweierde pakket is bewyse. 'n Adres wat nie geadverteer word nie, is net die afwesigheid van bewyse.
Om die beskermingsbeleid te konsolideer is 'n verandering aan wat geënkripteer mag word. Dit is nie 'n toekenning van toegang nie, en dit moet nie as sodanig behandel word nie.
Toets beide LAN's en hou dan beide tonnels
Na 'n gekoördineerde verandering, inspekteer die aktiewe beskermingsomvang en oefen dan 'n werklike toepassing vanaf elke LAN. Een subnet wat werk, bewys niks oor die tweede een se selektordekking nie, en nog minder oor sy antwoordroete.
Hou beide tonnels in die ontwerp. Om beleid te konsolideer is nie toestemming om oortolligheid weg te gooi nie, en 'n enkele tonnel wat elke tak-LAN dra, maak die volgende onderhoudsvenster 'n onderbreking.
Skryf die onderhandelde selektors, die twee voorvoegsels en die roete-eienaars in dieselfde veranderingsrekord. Wanneer 'n derde LAN opdaag, vertel daardie rekord jou of jy 'n selektor byvoeg of van voor af begin.