Лакальны і аддалены CIDR у AWS VPN: які бок які?

Вы адкрываеце параметры Site-to-Site VPN, бачыце два палі CIDR з пазнакамі local і remote і цягняцеся да адраса, які лічыце лакальным: VPC. Гэта адваротнасць таго, што мае на ўвазе API. У параметрах злучэння LocalIpv4NetworkCidr называе бок шлюза заказчыка, а RemoteIpv4NetworkCidr — бок AWS, бо злучэнне будуецца менавіта ад шлюза заказчыка. Кансоль ніколі не кажа гэтага ўголас, і нішто не адхіляе праўдападобную падмену.

Пачынайце з выкліку API, а не з подпісу ў кансолі

Прачытайце даведнік па параметрах злучэння адзін раз цалкам і заўважце, што кожны параметр напісаны з пункту гледжання шлюза заказчыка. Гэта не выпадковасць назвы. Тунэль апісваецца так, як яго бачыць прылада, што завяршае яго на вашым баку, таму local азначае сетку за вашым шлюзам, а remote — сетку за шлюзам AWS. Абодва палі IPv4 і IPv6 падпарадкоўваюцца таму ж правілу.

Напішыце дзве пазнакі на стыкеры, перш чым нешта ўводзіць: бок заказчыка, бок AWS. Затым супастаўце з імі свае адрасы.

Разгледжаны прыклад з прыпісанымі ролямі

Выкажам здагадку, што прэфікс лакальнай сеткі — 10.20.0.0/16, а прэфікс VPC — 10.60.0.0/16. Параметры чытаюцца менавіта так, як падказваюць ролі, а дыяпазон лакальнай сеткі стаіць у лакальным полі:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Цяпер аддайце тую ж пару таму, хто наладжвае прыладу партнёра, і паназірайце, як спрацуе пастка. На многіх міжсеткавых экранах local азначае інтэрфейс, на якім завяршаецца тунэль, а remote — далёкі канец, і гэта адваротнае супастаўленне для боку AWS. Абодва чалавекі могуць мець рацыю і ўсё ж атрымаць тунэль, які ніколі не завершыцца, бо два слоўнікі апісваюць розныя канчатковыя пункты.

Паўтарыце практыкаванне на паперы ў тэрміналогіі партнёра, з абодвума CIDR і абодвума пазнакамі, перш чым кранаць якую-небудзь прыладу.

Значэнні па змаўчанні — гэта не дызайн

Той жа даведнік паказвае 0.0.0.0/0 як значэнне па змаўчанні для абодвух палёў IPv4, з аналагічнымі значэннямі для IPv6. Калі вы бачыце такія значэнні ў існуючым злучэнні, гэта кажа, што поле ніколі не звужвалі, а не тое, што наладжаны выхад у інтэрнэт. Размеркаванне маршрутаў, табліца маршрутаў падсеткі і сродкі бяспекі па-ранейшаму вырашаюць, які трафік можа прайсці; значэнні CIDR толькі апісваюць, якія дыяпазоны тунэль гатовы выбіраць.

Таму замена больш вузкага значэння на значэнне па змаўчанні — гэта не хітрык сумяшчальнасці, які можна ўжыць, калі тунэль паводзіць сябе няправільна. Ён пашырае селектар і пакідае ўсе астатнія ўзроўні такімі ж, як былі.

Прылада партнёра выкарыстоўвае іншы пункт гледжання

Калі бок AWS зразумелы, канфігурацыя партнёра — гэта месца, дзе застаецца большасць блытаніны. Прылада, якая просіць лакальную сетку і аддаленую сетку, апісвае ўласны інтэрфейс як лакальны, таму ваш дыяпазон VPC ідзе ў яе аддаленае поле, а ваш лакальны дыяпазон — у яе лакальнае поле. Калі ж яна просіць селектары трафіку парамі, вы пішаце абодва напрамкі яўна, і пазнакі маюць меншае значэнне, чым спарванне.

Чытайце даведку па палях прылады, а не назвы яе палёў. Вытворцы выкарыстоўваюць адны і тыя ж два словы для трох розных паняццяў.

Пасля праверце стан тунэля для абодвух этапаў, бо неузгоднены селектар звычайна выглядае як збой другога этапу, пакуль першы этап спакойна ўсталяваны.

Змяняйце параметры як змену, а не як дакументацыю

Рэдагаванне параметраў злучэння на працуючым VPN можа перарваць абслугоўванне, таму стаўцеся да гэтага як да працы па абслугоўванні: з акном, значэннем для адкату і запісам, каго гэта закране. Спачатку зафіксуйце бягучыя параметры, уключаючы абодва палі CIDR і параметры тунэля, каб адкат быў устаўкай, а не перастварэннем.

Пасля змены праверце з боку AWS і з боку партнёра: крыніца ў кожным дыяпазоне дасягае прызначэння ў іншым, у абодвух напрамках. Адзін ping з аднаго боку даказвае адзін селектар.

Затым абнавіце дакументацыю злучэння, выпісаўшы ролі, каб наступнаму чалавеку не давялося зноў адкрываць, што local азначае ваш бок.