CIDR local i remot a l'AWS VPN: quina banda és quina?

Obriu les opcions de Site-to-Site VPN, veieu dues caixes CIDR etiquetades com a local i remot, i allargueu la mà cap a l'adreça que considereu local: la VPC. Això és el revés del que vol dir l'API. A les opcions de connexió, LocalIpv4NetworkCidr anomena la banda de la passarel·la del client i RemoteIpv4NetworkCidr anomena la banda d'AWS, perquè la passarel·la del client és on es construeix la connexió. La consola no ho diu mai en veu alta, i res no rebutja un intercanvi que sembla versemblant.

Comenceu per la crida a l'API, no per l'etiqueta de la consola

Llegiu la referència de les opcions de connexió un cop, de dalt a baix, i fixeu-vos que cada opció està escrita des del punt de vista de la passarel·la del client. No és casualitat en el nom. El túnel es descriu tal com el veu el dispositiu que el termina a la vostra banda, així que local vol dir la xarxa darrere de la vostra passarel·la i remot vol dir la xarxa darrere de la passarel·la d'AWS. Tant els camps IPv4 com els IPv6 segueixen la mateixa regla.

Escriviu les dues etiquetes en un pòstit abans d'escriure res: banda del client, banda d'AWS. Després assigneu-hi les vostres adreces.

Un exemple treballat amb els rols enganxats

Suposeu que el prefix local és 10.20.0.0/16 i el prefix de la VPC és 10.60.0.0/16. Les opcions es llegeixen exactament com suggereixen els rols, amb el rang local al camp local:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Ara passeu la mateixa parella a qui configuri el dispositiu parell i mireu com salta el parany. A molts tallafocs, local vol dir la interfície on termina el túnel i remot vol dir l'extrem llunyà, que és el mapatge invers per a la banda d'AWS. Totes dues persones poden tenir raó i tot i així produir un túnel que no s'acaba mai, perquè els dos vocabularis descriuen extrems diferents.

Repetiu l'exercici en paper amb la terminologia del parell, amb tots dos CIDR i totes dues etiquetes, abans de tocar cap dispositiu.

Els valors per defecte no són un disseny

La mateixa referència llista 0.0.0.0/0 com a valor per defecte per als dos camps IPv4, amb valors anàlegs per a IPv6. Veure aquests valors en una connexió existent us diu que el camp no es va estrényer mai, no que hi hagi una sortida a internet configurada. La distribució de rutes, la taula de rutes de la subxarxa i els controls de seguretat encara decideixen quin trànsit pot passar de debò; els valors CIDR només descriuen quins rangs el túnel està disposat a seleccionar.

Substituir un valor més estret pel valor per defecte no és, doncs, cap truc de compatibilitat que es pugui aplicar quan un túnel es comporta malament. Amplia el selector i deixa la resta de capes exactament com estaven.

El dispositiu parell fa servir l'altre punt de vista

Un cop la banda d'AWS és clara, la configuració del parell és on viu la major part del desconcert restant. Un dispositiu que demana una xarxa local i una xarxa remota descriu la seva pròpia interfície com a local, així que el vostre rang de VPC va al seu camp remot i el vostre rang local va al seu camp local. Si en canvi demana selectors de trànsit per parelles, esteu escrivint totes dues direccions explícitament i les etiquetes importen menys que aparellar-les.

Llegiu l'ajuda dels camps del dispositiu, no els noms dels camps. Els fabricants reutilitzen les mateixes dues paraules per a tres conceptes diferents.

Després comproveu l'estat del túnel per a totes dues fases, ja que un selector que no encaixa sol aparèixer com una fallada de la segona fase mentre la primera es queda tranquil·lament establerta.

Canvieu les opcions com un canvi, no com a documentació

Editar les opcions de connexió en una VPN en marxa pot interrompre el servei, així que tracteu-ho com una acció de manteniment amb una finestra, un valor de retrocés i una nota de qui en queda afectat. Captureu primer les opcions actuals, incloent-hi els dos camps CIDR i les opcions del túnel, perquè tornar enrere sigui enganxar i no reconstruir.

Després del canvi, verifiqueu-ho des de la banda d'AWS i des del parell: una font de cada rang que arribi a una destinació de l'altre, en totes dues direccions. Un sol ping des d'una banda demostra un sol selector.

Després actualitzeu la documentació de la connexió amb els rols escrits, perquè la següent persona no hagi de redescobrir que local vol dir la vostra banda.