Diverses LAN en un túnel VPN d'AWS: què significa el límit d'SA
AWS permet una parella d'IPsec SA per túnel, i això no és un límit d'una sola subxarxa. Separeu primer l'abast de protecció de l'encaminament i de l'accés.
Afegir una segona LAN de sucursal a una VPN de lloc a lloc d'AWS no requereix una segona associació IPsec independent dins d'aquest túnel. El límit amb què la gent ensopega és real, però més estret del que sembla: AWS documenta una parella única d'IPsec SA per túnel, una d'entrada i una de sortida, i els dos túnels d'una connexió reben cadascun la seva parella. Això és una propietat del servei, no una regla que IPsec protegeixi una subxarxa alhora. La distinció importa sobretot quan una passarel·la de client basada en polítiques converteix cada entrada de política en una associació pròpia.
Comenceu per la connexió, no per la llista de LAN
Obriu la connexió a la consola i fixeu-vos com s'encamina. Una connexió estàtica porta els prefixos remots que heu declarat. Una connexió BGP els aprèn de la passarel·la de client.
De qualsevol manera, el túnel es basa en rutes. El que hi entra ho decideixen els selectors que negocia el vostre dispositiu, no el nombre de subxarxes que podeu escriure en un formulari.
Vigileu què negocia la passarel·la de client
Un dispositiu basat en polítiques pot convertir cada entrada de política en una SA pròpia. Dues LAN volen dir dues entrades, cosa que vol dir dues SA, i aquí és on el límit per túnel comença a importar. Requisits de la passarel·la de client adverteixen exactament d'aquest comportament i suggereixen regles consolidades en aquests dispositius. Reviseu els selectors negociats en lloc del recompte d'ACL al dispositiu.
El dispositiu s'ha de configurar per presentar tots dos prefixos sota una única política, o l'extrem remot simplement no podrà mantenir el resultat.
Tres inventaris, mantinguts a part
Barregeu aquestes tres llistes i cada canvi es converteix en conjectura. Manteniu-les com a columnes separades i ompliu cadascuna per a la vostra xarxa.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Només la columna central està limitada pel límit d'SA. La primera columna és un fet de negoci, i la tercera és el que fa funcionar una aplicació. Llegiu els selectors acceptats al dispositiu en lloc d'inferir la cobertura del nombre de línies d'ACL que heu escrit.
Consolideu sense ampliar el permís
Una ruta resumida és la manera òbvia d'obtenir una entrada de política, i també és com un conjunt protegit creix en silenci. Un /20 que cobreix les dues /24 també cobreix adreces que cap de les dues sucursals no fa servir, i el túnel les portarà de bon grat. Si heu de resumir, combineu-ho amb filtratge al costat receptor perquè l'espai extra sigui rebutjat en lloc de simplement no anunciat. Un paquet rebutjat és evidència. Una adreça no anunciada només és una absència d'evidència.
Consolidar la política de protecció és un canvi en què es pot xifrar. No és una concessió d'accés i no s'ha de tractar com a tal.
Proveu les dues LAN i després manteniu els dos túnels
Després d'un canvi coordinat, inspeccioneu l'abast de protecció actiu i després executeu una aplicació real des de cada LAN. Que una subxarxa funcioni no demostra res sobre la cobertura de selectors de la segona, i encara menys sobre la seva ruta de resposta.
Manteniu els dos túnels al disseny. Consolidar la política no és permís per descartar redundància, i un sol túnel que porti cada LAN de sucursal converteix la propera finestra de manteniment en una interrupció.
Escriviu els selectors negociats, els dos prefixos i els propietaris de rutes al mateix registre de canvis. Quan arribi una tercera LAN, aquest registre us dirà si afegiu un selector o comenceu de nou.