CIDR المحلي والبعيد في AWS VPN: أي جانب هو أي؟

تفتح خيارات Site-to-Site VPN فترى مربعي CIDR موسومين بالمحلي والبعيد، فتمسك بالعنوان الذي تعتبره محليًا: الـVPC. وهذا عكس ما يعنيه الـAPI. في خيارات الاتصال، يسمّي LocalIpv4NetworkCidr جانب بوابة العميل، ويسمّي RemoteIpv4NetworkCidr جانب AWS، لأن بوابة العميل هي المكان الذي يُبنى منه الاتصال. لا تقول وحدة التحكم هذا صراحةً أبدًا، ولا شيء يرفض تبديلًا يبدو معقولًا.

ابدأ من نداء الـAPI لا من تسمية وحدة التحكم

اقرأ مرجع خيارات الاتصال مرة واحدة كاملًا، ولاحظ أن كل خيار مكتوب من وجهة نظر بوابة العميل. هذا ليس مصادفة في التسمية. يُوصف النفق كما يبدو للجهاز الذي ينهيه في طرفك، فالمحلي يعني الشبكة خلف بوابتك والبعيد يعني الشبكة خلف بوابة AWS. ويتبع حقلا IPv4 وIPv6 القاعدة نفسها.

اكتب التسميتين على ورقة لاصقة قبل أن تكتب أي شيء: جانب العميل، جانب AWS. ثم ضع عناوينك عليهما.

مثال عملي مع الأدوار ملحقة

لنفترض أن بادئة الشبكة المحلية هي 10.20.0.0/16 وبادئة الـVPC هي 10.60.0.0/16. تُقرأ الخيارات تمامًا كما توحي الأدوار، مع نطاق الشبكة المحلية في الحقل المحلي:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

الآن أعطِ الزوج نفسه لمن يضبط جهاز النظير وراقب الفخ ينطلق. في كثير من الجدران النارية، المحلي يعني الواجهة التي ينتهي عليها النفق والبعيد يعني الطرف الآخر، وهذا هو التخطيط المعاكس لجانب AWS. يمكن أن يكون كل شخص على حق ومع ذلك ينتج نفقًا لا يكتمل أبدًا، لأن المفردتين تصفان نقطتي طرف مختلفتين.

أعد التمرين بمصطلحات النظير على الورق، مع كلا الـCIDR والتسميتين، قبل لمس أي جهاز.

القيم الافتراضية ليست تصميمًا

يسرد المرجع نفسه 0.0.0.0/0 كقيمة افتراضية لكلا حقلي IPv4، مع قيم مماثلة لـIPv6. رؤية هذه القيم في اتصال قائم تخبرك أن الحقل لم يُضيّق أبدًا، لا أنه تم إعداد مخرج إنترنت. توزيع المسارات وجدول مسارات الشبكة الفرعية وضوابط الأمان تظل تحدد ما يمكن أن يعبر فعلًا؛ وقيم CIDR تصف فقط النطاقات التي يقبل النفق اختيارها.

لذا فإن استبدال قيمة أضيق بالقيمة الافتراضية ليس حيلة توافق يمكنك تطبيقها عندما يسيء النفق العمل. إنه يوسّع المحدِّد ويترك كل طبقة أخرى كما كانت تمامًا.

جهاز النظير يستخدم وجهة النظر الأخرى

بعد أن يتضح جانب AWS، يكون إعداد النظير هو حيث يكمن معظم الالتباس المتبقي. الجهاز الذي يطلب شبكة محلية وشبكة بعيدة يصف واجهته هو كمحلية، لذلك يذهب نطاق الـVPC في حقله البعيد ونطاق شبكتك المحلية في حقله المحلي. أما إذا طلب محددات المرور في أزواج، فأنت تكتب الاتجاهين صراحةً وتصبح التسميتان أقل أهمية من الاقتران.

اقرأ تعليمات حقول الجهاز لا أسماء حقوله. فالبائعون يعيدون استخدام الكلمتين نفسيهما لثلاثة مفاهيم مختلفة.

ثم افحص حالة النفق في المرحلتين، لأن المحدِّد غير المتطابق يظهر عادةً كفشل في المرحلة الثانية بينما تبقى المرحلة الأولى قائمة بارتياح.

غيّر الخيارات كتغيير لا كتوثيق

قد يقطع تحرير خيارات الاتصال في VPN حي الخدمة، لذا تعامل معه كإجراء صيانة له نافذة وقيمة تراجع وملاحظة بمن يتأثر. التقط الخيارات الحالية أولًا، بما فيها حقلا CIDR وخيارات النفق، حتى يكون التراجع لصقًا لا إعادة بناء.

بعد التغيير، تحقق من جانب AWS ومن النظير: مصدر في كل نطاق يصل إلى وجهة في النطاق الآخر، في الاتجاهين. بينغ واحد من جانب واحد يثبت محددًا واحدًا.

ثم حدّث توثيق الاتصال مع كتابة الأدوار صراحةً، حتى لا يضطر الشخص التالي إلى إعادة اكتشاف أن المحلي يعني جانبك.