AWS VPN-də yerli və uzaq CIDR: hansı tərəf hansıdır?

Site-to-Site VPN seçimlərini açırsınız, yerli və uzaq kimi işarələnmiş iki CIDR qutusu görürsünüz və yerli sandığınız ünvana - VPC-yə - əl atırsınız. Bu, API-nin nəzərdə tutduğunun tərsidir. Bağlantı seçimlərində LocalIpv4NetworkCidr müştəri-şlüz tərəfini, RemoteIpv4NetworkCidr isə AWS tərəfini adlandırır, çünki bağlantı məhz müştəri şlüzündən qurulur. Konsol bunu heç vaxt ucadan demir və heç nə inandırıcı görünən dəyişdirməni rədd etmir.

Konsol etiketindən deyil, API çağırışından başlayın

Bağlantı seçimləri sənədini bir dəfə tam oxuyun və görün ki, hər seçim müştəri şlüzünün nöqteyi-nəzərindən yazılıb. Bu, adlandırmanın təsadüfü deyil. Tunel sizin tərəfinizdə onu sonlandıran cihaza göründüyü kimi təsvir olunur, yəni yerli şlüzünüzün arxasındakı şəbəkə, uzaq isə AWS şlüzünün arxasındakı şəbəkə deməkdir. Həm IPv4, həm də IPv6 sahələri eyni qaydaya tabedir.

Heç nə yazmazdan əvvəl iki etiketi yapışqan kağıza yazın: müştəri tərəfi, AWS tərəfi. Sonra ünvanlarınızı onların üzərinə uyğunlaşdırın.

Rolları üzərinə yazılmış işlənmiş nümunə

Tutaq ki, yerli şəbəkə prefiksi 10.20.0.0/16, VPC prefiksi isə 10.60.0.0/16-dır. Seçimlər rolların təklif etdiyi kimi oxunur və yerli diapazon yerli sahədə durur:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

İndi eyni cütü qarşı cihazı konfiqurasiya edən adama verin və tələnin necə işə düşdüyünü görün. Bir çox firewall-da yerli tunelin sonlandığı interfeys, uzaq isə uzaq uc deməkdir və bu, AWS tərəfi üçün əks uyğunlaşmadır. Hər iki şəxs haqlı ola bilər və yenə də heç vaxt tamamlanmayan tunel yarana bilər, çünki iki lüğət fərqli son nöqtələri təsvir edir.

Məşqi qarşı tərəfin terminologiyası ilə kağız üzərində təkrarlayın, hər iki CIDR və hər iki etiketlə, hər hansı cihaza toxunmazdan əvvəl.

Defolt dəyərlər dizayn deyil

Həmin sənəd hər iki IPv4 sahəsi üçün defolt kimi 0.0.0.0/0 göstərir, IPv6 üçün də oxşar dəyərlər var. Bu dəyərləri mövcud bağlantıda görmək sahənin heç vaxt daraldılmadığını bildirir, internet çıxışının konfiqurasiya edildiyini deyil. Marşrut paylanması, subnet marşrut cədvəli və təhlükəsizlik nəzarətləri hələ də hansı trafikin keçə biləcəyini müəyyən edir; CIDR dəyərləri yalnız tunelin hansı diapazonları seçməyə hazır olduğunu təsvir edir.

Buna görə daha dar dəyəri defoltla əvəz etmək tunel nasaz işləyəndə tətbiq edə biləcəyiniz uyğunluq hiyləsi deyil. Bu, selektoru genişləndirir və bütün digər qatları olduğu kimi saxlayır.

Qarşı cihaz digər baxış nöqtəsini istifadə edir

AWS tərəfi aydınlaşdıqdan sonra qalan qarışıqlığın çoxu qarşı tərəfin konfiqurasiyasındadır. Yerli şəbəkə və uzaq şəbəkə istəyən cihaz öz interfeysini yerli adlandırır, yəni VPC diapazonunuz onun uzaq sahəsinə, yerli diapazonunuz isə onun yerli sahəsinə gedir. Əgər cihaz trafik selektorlarını cütlərlə istəyirsə, siz hər iki istiqaməti açıq şəkildə yazırsınız və etiketlər cütləşmədən daha az əhəmiyyətli olur.

Cihazın sahə adlarını deyil, sahə yardımını oxuyun. Vendorlar eyni iki sözü üç fərqli anlayış üçün təkrar istifadə edir.

Sonra tunelin statusunu hər iki mərhələ üçün yoxlayın, çünki uyğunsuz selektor adətən ikinci mərhələ nasazlığı kimi görünür, birinci mərhələ isə rahat şəkildə qurulmuş qalır.

Seçimləri sənədləşdirmə kimi deyil, dəyişiklik kimi dəyişin

Canlı VPN-də bağlantı seçimlərini redaktə etmək xidməti kəsə bilər, ona görə də bunu pəncərəsi, geri qaytarma dəyəri və kimin təsirləndiyi qeydi olan texniki xidmət əməliyyatı kimi qəbul edin. Əvvəlcə cari seçimləri, hər iki CIDR sahəsini və tunel seçimlərini qeydə alın ki, geri qaytarma yenidənqurma deyil, yapışdırma olsun.

Dəyişiklikdən sonra AWS tərəfindən və qarşı tərəfdən yoxlayın: hər diapazondan bir mənbə digərindəki təyinat nöqtəsinə çatır, hər iki istiqamətdə. Bir tərəfdən tək ping bir selektoru sübut edir.

Sonra bağlantı sənədləşməsini rolları açıq şəkildə yazaraq yeniləyin ki, növbəti şəxs yerlinin sizin tərəfiniz olduğunu yenidən kəşf etməsin.