Bir AWS VPN Tünelində Çoxsaylı LAN: SA Limitinin Mənası
AWS hər tunel üçün bir IPsec SA cütünə icazə verir və bu, bir alt şəbəkə limiti deyil. Əvvəlcə qoruma əhatəsini marşrutlaşdırma və girişdən ayırın.
AWS Site-to-Site VPN-ə ikinci filial LAN-ı əlavə etmək həmin tunelin içində ikinci müstəqil IPsec assosiasiyası tələb etmir. İnsanların ilişdiyi limit realdır, amma səsləndiyindən dardır: AWS sənədləşdirir hər tunel üçün bir unikal IPsec SA cütü, biri daxil və biri xaric, və bir bağlantıdakı iki tunel hərəsi öz cütünü alır. Bu, xidmətin xassəsidir, IPsec-in bir anda bir alt şəbəkəni qoruduğu qaydası deyil. Fərq ən çox siyasət əsaslı müştəri şlüzü hər siyasət qeydini öz assosiasiyasına çevirdikdə görünür.
LAN siyahısı ilə deyil, bağlantı ilə başlayın
Konsolda bağlantını açın və onun necə marşrutlaşdırıldığına baxın. Statik bağlantı elan etdiyiniz uzaq prefiksləri daşıyır. BGP bağlantısı onları müştəri şlüzündən öyrənir.
Hər halda tunel marşrut əsaslıdır. İçinə nə girəcəyini cihazınızın razılaşdırdığı selektorlar müəyyən edir, formaya yaza biləcəyiniz alt şəbəkələrin sayı deyil.
Müştəri şlüzünün nə razılaşdırdığına baxın
Siyasət əsaslı cihaz hər siyasət qeydini öz SA-na çevirə bilər. İki LAN iki qeyd deməkdir, bu da iki SA deməkdir və tunel başına limit məhz burada önəm qazanır. Müştəri şlüzü tələbləri bu davranış barədə xəbərdarlıq edir və həmin cihazlarda birləşdirilmiş qaydalar təklif edir. ACL sayına deyil, cihazda razılaşdırılmış selektorlara baxın.
Cihaz hər iki prefiksi vahid siyasət altında təqdim etmək üçün konfiqurasiya edilməlidir, əks halda qarşı tərəf nəticəni sadəcə saxlaya bilməz.
Üç inventar, ayrı saxlanılır
Bu üç siyahını qarışdırın və hər dəyişiklik təxminə çevrilir. Onları ayrı sütunlar kimi saxlayın və hər birini öz şəbəkəniz üçün doldurun.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Yalnız orta sütun SA limiti ilə məhdudlaşır. Birinci sütun biznes faktıdır, üçüncü sütun isə tətbiqin işləməsini təmin edəndir. Yazdığınız ACL sətirlərinin sayından əhatəni çıxarmaq əvəzinə cihazda qəbul edilmiş selektorları oxuyun.
İcazəni genişləndirmədən birləşdirin
Xülasə marşrutu bir siyasət qeydi əldə etməyin aşkar yoludur və eyni zamanda qorunan çoxluğun sakitcə böyümə yoludur. Hər iki /24-ü əhatə edən /20 həm də heç bir filialın istifadə etmədiyi ünvanları əhatə edir və tunel onları məmnuniyyətlə daşıyacaq. Əgər mütləq xülasələməlisinizsə, onu qəbul edən tərəfdə filtrləmə ilə birləşdirin ki, əlavə məkan sadəcə elan edilməməkdənsə rədd edilsin. Rədd edilmiş paket sübutdur. Elan edilməmiş ünvan isə yalnız sübutun yoxluğudur.
Qoruma siyasətini birləşdirmək şifrələnə biləcək şeylərin dəyişməsidir. Bu, giriş hüququ qazandırmır və belə qəbul edilməməlidir.
Hər iki LAN-ı sınayın, sonra hər iki tuneli saxlayın
Əlaqələndirilmiş dəyişiklikdən sonra aktiv qoruma əhatəsini yoxlayın və sonra hər LAN-dan real tətbiqi işə salın. Bir alt şəbəkənin işləməsi ikincinin selektor əhatəsi barədə heç nə sübut etmir, onun cavab marşrutu barədə isə daha az.
Dizaynda hər iki tuneli saxlayın. Siyasəti birləşdirmək artıqlıqdan imtina etmək icazəsi deyil və hər filial LAN-ını daşıyan tək tunel növbəti texniki xidmət pəncərəsini kəsintiyə çevirir.
Razılaşdırılmış selektorları, iki prefiksi və marşrut sahiblərini eyni dəyişiklik qeydinə yazın. Üçüncü LAN gələndə bu qeyd sizə selektor əlavə etdiyinizi yoxsa sıfırdan başladığınızı söyləyəcək.