Няколко LAN в един AWS VPN тунел: какво означава ограничението SA
AWS позволява една двойка IPsec SA на тунел и това не е ограничение до една подмрежа. Първо отделете обхвата на защита от маршрутизацията и достъпа.
Добавянето на втора LAN на клон към AWS Site-to-Site VPN не изисква втора независима IPsec асоциация в този тунел. Ограничението, в което хората се спъват, е реално, но по-тясно, отколкото звучи: AWS документира една уникална двойка IPsec SA на тунел, една входяща и една изходяща, и двата тунела в една връзка получават всеки своята двойка. Това е свойство на услугата, а не правило, че IPsec защитава една подмрежа наведнъж. Разликата е най-важна, когато шлюз на клиента, базиран на правила, превръща всеки запис на правило в отделна асоциация.
Започнете с връзката, а не със списъка с LAN
Отворете връзката в конзолата и отбележете как се маршрутизира. Статичната връзка носи отдалечените префикси, които сте декларирали. BGP връзката ги научава от шлюза на клиента.
Както и да е, тунелът е базиран на маршрути. Какво влиза в него се решава от селекторите, които устройството ви договаря, а не от броя подмрежи, които можете да въведете във формуляр.
Наблюдавайте какво договаря шлюзът на клиента
Устройство, базирано на правила, може да превърне всеки запис на правило в собствен SA. Две LAN означават два записа, което означава два SA, и точно тук ограничението на тунел започва да има значение. Изискванията към шлюза на клиента предупреждават точно за това поведение и предлагат обединени правила на тези устройства. Проверявайте договорените селектори, а не броя на ACL на устройството.
Устройството трябва да е конфигурирано да представя двата префикса под едно правило, иначе далечната страна просто не може да задържи резултата.
Три инвентара, държани отделно
Смесете тези три списъка и всяка промяна става догадка. Дръжте ги като отделни колони и попълнете всяка за собствената си мрежа.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Само средната колона е ограничена от лимита SA. Първата колона е бизнес факт, а третата е това, което кара приложението да работи. Четете приетите селектори на устройството, вместо да извеждате покритие от броя на написаните от вас ACL редове.
Обединяване, без разширяване на разрешението
Обобщеният маршрут е очевидният начин да получите един запис на правило и също е начинът, по който защитеното множество тихо расте. /20, който покрива и двете /24, покрива и адреси, които никой от клоновете не използва, и тунелът ще ги носи с удоволствие. Ако трябва да обобщавате, съчетайте го с филтриране от приемащата страна, така че допълнителното пространство да бъде отказано, а не просто необявено. Отхвърлен пакет е доказателство. Необявен адрес е само липса на доказателство.
Обединяването на защитната политика е промяна на това, което може да бъде криптирано. То не е предоставяне на достъп и не бива да се третира като такова.
Тествайте двете LAN, после запазете двата тунела
След координирана промяна прегледайте активния обхват на защита и след това упражнете реално приложение от всяка LAN. Работещата една подмрежа не доказва нищо за покритието на селекторите на втората и още по-малко за нейния път на отговор.
Запазете двата тунела в дизайна. Обединяването на политика не е разрешение да изхвърлите резервирането, а един тунел, носещ всяка LAN на клон, превръща следващия прозорец за поддръжка в прекъсване.
Запишете договорените селектори, двата префикса и собствениците на маршрути в един и същ запис за промяна. Когато пристигне трета LAN, този запис ще ви каже дали добавяте селектор, или започвате отначало.