Некалькі LAN у адным тунелі AWS VPN: што значыць абмежаванне SA
AWS дазваляе адну пару IPsec SA на тунель, і гэта не абмежаванне на адну падсетку. Спачатку аддзяліце зону абароны ад маршрутызацыі і доступу.
Даданне другой LAN філіяла да AWS Site-to-Site VPN не патрабуе другой незалежнай асацыяцыі IPsec унутры гэтага тунеля. Абмежаванне, аб якое спатыкаюцца людзі, рэальнае, але вузейшае, чым здаецца: AWS дакументуе адну ўнікальную пару IPsec SA на тунель, адну ўваходную і адну выходную, і два тунелі ў злучэнні кожны атрымлівае сваю пару. Гэта ўласцівасць сэрвісу, а не правіла, што IPsec абараняе адну падсетку за раз. Розніца найбольш важная, калі палітыка-арыентаваны шлюз кліента ператварае кожны пункт палітыкі ў асобную асацыяцыю.
Пачніце са злучэння, а не са спісу LAN
Адкрыйце злучэнне ў кансолі і адзначце, як яно маршрутызуецца. Статычнае злучэнне нясе абвешчаныя вамі аддаленыя прэфіксы. Злучэнне BGP вывучае іх у шлюза кліента.
Так ці інакш, тунель заснаваны на маршрутах. Што трапляе ўнутр, вызначаюць селектары, якія ўзгадняе ваша прылада, а не колькасць падсетак, якія можна ўпісаць у форму.
Сачыце за тым, што ўзгадняе шлюз кліента
Палітыка-арыентаваная прылада можа ператварыць кожны пункт палітыкі ў асобны SA. Дзве LAN — гэта два пункты, гэта значыць два SA, і менавіта тут абмежаванне на тунель пачынае мець значэнне. Патрабаванні да шлюза кліента папярэджваюць менавіта пра такія паводзіны і прапануюць аб’яднаныя правілы на такіх прыладах. Правярайце ўзгодненыя селектары, а не колькасць ACL на прыладзе.
Прылада павінна быць настроена так, каб прадстаўляць абодва прэфіксы ў адной палітыцы, інакш далёкі бок проста не зможа ўтрымаць вынік.
Тры інвентары, якія трымаюць асобна
Змяшайце гэтыя тры спісы, і кожная змена становіцца здагадкай. Трымайце іх як асобныя слупкі і запоўніце кожны для сваёй сеткі.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Толькі сярэдні слупок абмежаваны лімітам SA. Першы слупок — бізнес-факт, а трэці — тое, што прымушае праграму працаваць. Чытайце прынятыя селектары на прыладзе, замест таго каб выводзіць пакрыццё з колькасці напісаных вамі радкоў ACL.
Аб’яднаць, не пашыраючы дазвол
Зводны маршрут — відавочны спосаб атрымаць адзін пункт палітыкі, і гэта таксама спосаб, якім абароненае мноства ціха расце. /20, які пакрывае абодва /24, пакрывае таксама адрасы, якія не выкарыстоўвае ні адзін філіял, і тунель з задавальненнем іх перанясе. Калі трэба абагуліць, спалучыце гэта з фільтрацыяй на прымальным баку, каб залішняя прастора адхілялася, а не проста не абвяшчалася. Адхілены пакет — гэта доказ. Неабвешчаны адрас — гэта ўсяго толькі адсутнасць доказаў.
Аб’яднанне палітыкі абароны — гэта змена таго, што можна шыфраваць. Гэта не дазвол на доступ, і гэта не павінна так успрымацца.
Праверце абедзве LAN, потым захавайце абодва тунелі
Пасля ўзгодненай змены праверце актыўную зону абароны, а затым запусціце рэальную праграму з кожнай LAN. Праца адной падсеткі нічога не даказвае пра пакрыццё селектараў другой і яшчэ менш пра яе зваротны шлях.
Трымайце абодва тунелі ў праекце. Аб’яднанне палітыкі не дае дазволу адмаўляцца ад рэзэрвавання, а адзін тунель, які нясе кожную LAN філіяла, робіць наступнае акно абслугоўвання прастоем.
Запішыце ўзгодненыя селектары, абодва прэфіксы і ўладальнікаў маршрутаў у той жа запіс змен. Калі з’явіцца трэцяя LAN, гэты запіс скажа вам, ці вы дадаяце селектар, ці пачынаеце спачатку.