একটি AWS VPN টানেলে একাধিক LAN: SA সীমা বলতে কী বোঝায়
AWS প্রতি টানেলে একটি IPsec SA জোড়া অনুমোদন করে, এবং এটি এক-সাবনেট সীমা নয়। প্রথমে সুরক্ষার পরিধিকে রাউটিং ও অ্যাক্সেস থেকে আলাদা করুন।
একটি AWS Site-to-Site VPN-এ দ্বিতীয় শাখা LAN যোগ করতে ওই টানেলের ভিতরে দ্বিতীয় স্বতন্ত্র IPsec অ্যাসোসিয়েশনের প্রয়োজন হয় না। মানুষ যে সীমায় হোঁচট খায় তা বাস্তব, তবে শোনার চেয়ে সংকীর্ণ: AWS নথিভুক্ত করে প্রতি টানেলে একটি অনন্য IPsec SA জোড়া, একটি আগমনী ও একটি বহির্গামী, এবং একটি সংযোগের দুই টানেল প্রত্যেকে নিজের জোড়া পায়। এটি সেবার একটি বৈশিষ্ট্য, IPsec একবারে একটি সাবনেট রক্ষা করে এমন নিয়ম নয়। পার্থক্যটি সবচেয়ে বেশি গুরুত্বপূর্ণ যখন নীতিভিত্তিক কাস্টমার গেটওয়ে প্রতিটি নীতির এন্ট্রিকে নিজস্ব অ্যাসোসিয়েশনে পরিণত করে।
LAN তালিকা দিয়ে নয়, সংযোগ দিয়ে শুরু করুন
কনসোলে সংযোগটি খুলুন এবং এটি কীভাবে রাউট হয় লক্ষ্য করুন। স্ট্যাটিক সংযোগ আপনার ঘোষিত রিমোট প্রিফিক্সগুলো বহন করে। BGP সংযোগ সেগুলো কাস্টমার গেটওয়ে থেকে শেখে।
যেভাবেই হোক, টানেলটি রুট-ভিত্তিক। এর ভিতরে কী যাবে তা নির্ধারণ করে আপনার ডিভাইস যে সিলেক্টরগুলো নিয়ে আলোচনা করে, ফর্মে টাইপ করা সাবনেটের সংখ্যা নয়।
কাস্টমার গেটওয়ে কী নিয়ে আলোচনা করে তা লক্ষ্য করুন
নীতিভিত্তিক ডিভাইস প্রতিটি নীতির এন্ট্রিকে নিজস্ব SA-তে পরিণত করতে পারে। দুই LAN মানে দুই এন্ট্রি, যার মানে দুই SA, এবং এখানেই প্রতি-টানেল সীমা গুরুত্বপূর্ণ হতে শুরু করে। কাস্টমার গেটওয়ে প্রয়োজনীয়তা ঠিক এই আচরণ সম্পর্কে সতর্ক করে এবং সেই ডিভাইসগুলোতে একত্রিত নিয়মের পরামর্শ দেয়। বক্সে ACL সংখ্যার বদলে আলোচিত সিলেক্টরগুলো দেখুন।
ডিভাইসটিকে একটি একক নীতির অধীনে উভয় প্রিফিক্স উপস্থাপন করতে কনফিগার করতে হবে, নইলে দূর প্রান্তটি ফলাফলটি ধরে রাখতেই পারবে না।
তিনটি ইনভেন্টরি, আলাদা রাখা
এই তিনটি তালিকা মেশান, আর প্রতিটি পরিবর্তন অনুমানে পরিণত হয়। সেগুলো আলাদা কলাম হিসেবে রাখুন এবং নিজের নেটওয়ার্কের জন্য প্রতিটি পূরণ করুন।
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
কেবল মাঝের কলামটি SA সীমা দ্বারা সীমাবদ্ধ। প্রথম কলামটি একটি ব্যবসায়িক তথ্য, আর তৃতীয় কলামটি হলো যা একটি অ্যাপ্লিকেশনকে কাজ করায়। আপনি কতগুলো ACL লাইন লিখেছেন তা থেকে কভারেজ অনুমান না করে ডিভাইসে গৃহীত সিলেক্টরগুলো পড়ুন।
অনুমতি না বাড়িয়েই একত্রিত করুন
সারাংশ রুট হলো একটি নীতির এন্ট্রি পাওয়ার সুস্পষ্ট উপায়, এবং এটিই সেই উপায় যেখানে সুরক্ষিত সেট নীরবে বাড়ে। যে /20 উভয় /24 কভার করে তা এমন ঠিকানাও কভার করে যা কোনো শাখাই ব্যবহার করে না, এবং টানেল সেগুলো আনন্দেই বহন করবে। যদি অবশ্যই সারাংশ করতে হয়, তবে গ্রহণকারী পাশে ফিল্টারিংয়ের সঙ্গে মেলান যাতে অতিরিক্ত স্থান নিছক অঘোষিত না হয়ে প্রত্যাখ্যাত হয়। প্রত্যাখ্যাত প্যাকেট হলো প্রমাণ। অঘোষিত ঠিকানা কেবল প্রমাণের অনুপস্থিতি।
সুরক্ষা নীতি একত্রিত করা হলো কী এনক্রিপ্ট করা যাবে তার একটি পরিবর্তন। এটি অ্যাক্সেসের অনুদান নয়, এবং এটিকে তেমনভাবে বিবেচনা করা উচিত নয়।
উভয় LAN পরীক্ষা করুন, তারপর উভয় টানেল রাখুন
সমন্বিত পরিবর্তনের পর সক্রিয় সুরক্ষা পরিধি পরিদর্শন করুন এবং তারপর প্রতিটি LAN থেকে একটি বাস্তব অ্যাপ্লিকেশন চালান। একটি সাবনেট কাজ করা দ্বিতীয়টির সিলেক্টর কভারেজ সম্পর্কে কিছুই প্রমাণ করে না, আর তার উত্তরের পথ সম্পর্কে আরও কম।
ডিজাইনে উভয় টানেল রাখুন। নীতি একত্রিত করা অতিরিক্ত রিডান্ডেন্সি বাতিল করার অনুমতি নয়, এবং প্রতিটি শাখা LAN বহনকারী একক টানেল পরবর্তী রক্ষণাবেক্ষণ উইন্ডোকে বিভ্রাটে পরিণত করে।
আলোচিত সিলেক্টর, দুটি প্রিফিক্স এবং রুট মালিকদের একই পরিবর্তন রেকর্ডে লিখুন। তৃতীয় LAN এলে সেই রেকর্ডই আপনাকে জানাবে আপনি একটি সিলেক্টর যোগ করছেন, নাকি নতুন করে শুরু করছেন।