Više LAN-ova na jednom AWS VPN tunelu: šta znači ograničenje SA
AWS dozvoljava jedan par IPsec SA po tunelu, i to nije ograničenje na jednu podmrežu. Prvo odvojite obim zaštite od rutiranja i pristupa.
Dodavanje druge LAN mreže podružnice na AWS Site-to-Site VPN ne zahtijeva drugu nezavisnu IPsec asocijaciju unutar tog tunela. Ograničenje na koje ljudi nailaze stvarno je, ali uže nego što zvuči: AWS dokumentuje jedan jedinstveni par IPsec SA po tunelu, jedan dolazni i jedan odlazni, a dva tunela u jednoj vezi svaki dobija svoj par. To je svojstvo usluge, a ne pravilo da IPsec štiti jednu podmrežu odjednom. Razlika je najvažnija kada mrežni prolaz kupca zasnovan na pravilima pretvori svaki unos pravila u vlastitu asocijaciju.
Počnite s vezom, a ne s listom LAN mreža
Otvorite vezu u konzoli i obratite pažnju kako se rutira. Statička veza nosi udaljene prefikse koje ste deklarisali. BGP veza ih uči od mrežnog prolaza kupca.
Bilo kako bilo, tunel se zasniva na rutama. Šta ulazi u njega određuju selektori koje vaš uređaj pregovara, a ne broj podmreža koje možete ukucati u obrazac.
Pratite šta mrežni prolaz kupca pregovara
Uređaj zasnovan na pravilima može pretvoriti svaki unos pravila u vlastiti SA. Dvije LAN mreže znače dva unosa, što znači dva SA, i tu ograničenje po tunelu počinje biti važno. Zahtjevi za mrežni prolaz kupca upozoravaju upravo na ovo ponašanje i predlažu objedinjena pravila na tim uređajima. Provjerite pregovarane selektore, a ne broj ACL-ova na uređaju.
Uređaj mora biti konfigurisan da predstavi oba prefiksa pod jednim pravilom, inače suprotna strana jednostavno ne može zadržati rezultat.
Tri inventara, držana odvojeno
Pomiješajte ove tri liste i svaka promjena postaje nagađanje. Držite ih kao odvojene kolone i popunite svaku za svoju mrežu.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Samo je srednja kolona ograničena SA limitom. Prva kolona je poslovna činjenica, a treća je ono što aplikaciju čini funkcionalnom. Čitajte prihvaćene selektore na uređaju umjesto da zaključujete pokrivenost iz broja ACL redova koje ste napisali.
Objedinite bez širenja dozvole
Sažeta ruta je očigledan način da dobijete jedan unos pravila, a to je i način na koji zaštićeni skup tiho raste. /20 koji pokriva oba /24 pokriva i adrese koje nijedna podružnica ne koristi, a tunel će ih rado nositi. Ako morate sažimati, uparite to s filtriranjem na prijemnoj strani tako da se dodatni prostor odbije, a ne samo ne objavi. Odbijen paket je dokaz. Neobjavljena adresa je samo odsustvo dokaza.
Objedinjavanje zaštitne politike promjena je onoga što se smije šifrovati. To nije davanje pristupa i ne treba se tako tretirati.
Testirajte obje LAN mreže, pa zadržite oba tunela
Nakon koordinisane promjene pregledajte aktivni obim zaštite, a zatim pokrenite stvarnu aplikaciju iz svake LAN mreže. Jedna podmreža koja radi ne dokazuje ništa o pokrivenosti selektora druge, a još manje o njenoj povratnoj putanji.
Zadržite oba tunela u dizajnu. Objedinjavanje politike nije dozvola da odbacite redundantnost, a jedan tunel koji nosi svaku LAN mrežu podružnice čini sljedeći prozor za održavanje prekidom.
U isti zapis promjene upišite pregovarane selektore, oba prefiksa i vlasnike ruta. Kada dođe treća LAN mreža, taj zapis vam kaže dodajete li selektor ili počinjete iznova.