شبكات LAN متعددة على نفق AWS VPN واحد: ماذا يعني حد SA
تسمح AWS بزوج واحد من IPsec SA لكل نفق، وهذا ليس حدًا بشبكة فرعية واحدة. افصل أولًا نطاق الحماية عن التوجيه والوصول.
إضافة شبكة LAN ثانية لفرع إلى AWS Site-to-Site VPN لا تتطلب جمعية IPsec مستقلة ثانية داخل ذلك النفق. الحد الذي يتعثر فيه الناس حقيقي لكنه أضيق مما يبدو: توثّق AWS زوجًا واحدًا فريدًا من IPsec SA لكل نفق، واحدًا واردًا وآخر صادرًا، ويحصل النفقان في كل اتصال على زوجهما الخاص. هذه خاصية للخدمة، وليست قاعدة بأن IPsec يحمي شبكة فرعية واحدة في كل مرة. تظهر أهمية التمييز أكثر ما تظهر عندما يحوّل بوابة عميل قائمة على السياسات كل إدخال سياسة إلى جمعية خاصة به.
ابدأ بالاتصال، لا بقائمة شبكات LAN
افتح الاتصال في وحدة التحكم ولاحظ كيفية توجيهه. يحمل الاتصال الثابت البادئات البعيدة التي أعلنتها. ويتعلم اتصال BGP بها من بوابة العميل.
في كلتا الحالتين، النفق قائم على التوجيه. وما يدخل فيه تحدده المحددات التي يتفاوض عليها جهازك، لا عدد الشبكات الفرعية التي يمكنك كتابتها في نموذج.
راقب ما تتفاوض عليه بوابة العميل
يمكن لجهاز قائم على السياسات تحويل كل إدخال سياسة إلى SA خاص به. شبكتا LAN تعنيان إدخالين، ما يعني SA اثنين، وهنا يبدأ حد النفق الواحد في الأهمية. متطلبات بوابة العميل تحذّر من هذا السلوك تحديدًا وتقترح قواعد موحّدة على تلك الأجهزة. افحص المحددات المتفاوض عليها بدلًا من عدد قواعد ACL على الجهاز.
يجب تهيئة الجهاز لعرض البادئتين ضمن سياسة واحدة، وإلا تعذّر على الطرف البعيد ببساطة استيعاب النتيجة.
ثلاثة جردات، تُبقى منفصلة
اخلط هذه القوائم الثلاث فتصبح كل تغيير تخمينًا. أبقِها أعمدة منفصلة واملأ كلًا منها لشبكتك.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
العمود الأوسط وحده مقيّد بحد SA. العمود الأول حقيقة تجارية، والعمود الثالث هو ما يجعل التطبيق يعمل. اقرأ المحددات المقبولة على الجهاز بدلًا من استنتاج التغطية من عدد أسطر ACL التي كتبتها.
وحّد دون توسيع الإذن
المسار المختصر هو الطريقة الواضحة للحصول على إدخال سياسة واحد، وهو أيضًا الطريقة التي تنمو بها المجموعة المحمية بهدوء. مسار /20 يغطي كلا /24 يغطي أيضًا عناوين لا يستخدمها أي من الفرعين، وسيحملها النفق عن طيب خاطر. إن كان لا بد من التلخيص، اقرنه بالتصفية على الجانب المستقبِل حتى تُرفض المساحة الإضافية بدلًا من ألا تُعلن فحسب. الحزمة المرفوضة دليل. والعنوان غير المعلن ليس سوى غياب للدليل.
توحيد سياسة الحماية تغيير لما يجوز تشفيره. وهو ليس منحًا للوصول، ولا ينبغي التعامل معه على هذا النحو.
اختبر كلتا شبكتي LAN ثم احتفظ بكلا النفقين
بعد تغيير منسّق، افحص نطاق الحماية النشط ثم شغّل تطبيقًا حقيقيًا من كل شبكة LAN. نجاح شبكة فرعية واحدة لا يثبت شيئًا عن تغطية محددات الثانية، وأقل من ذلك عن مسار ردها.
أبقِ النفقين في التصميم. توحيد السياسة ليس إذنًا بالتخلي عن التكرار، ونفق واحد يحمل كل شبكة LAN فرعية يجعل نافذة الصيانة التالية انقطاعًا.
اكتب المحددات المتفاوض عليها والبادئتين ومالكي المسارات في سجل التغيير نفسه. وعندما تصل شبكة LAN ثالثة، يخبرك ذلك السجل هل تضيف محددًا أم تبدأ من جديد.