Lokální a vzdálená CIDR ve AWS VPN: která strana je která?

V možnostech AWS VPN je LocalIpv4NetworkCidr strana zákazníka a RemoteIpv4NetworkCidr je AWS. Označte obě role, než se dotknete živého tunelu.

Otevřete možnosti Site-to-Site VPN, uvidíte dvě pole CIDR označená jako lokální a vzdálené a sáhnete po adrese, kterou považujete za lokální: VPC. To je opak toho, co API míní. V možnostech připojení LocalIpv4NetworkCidr označuje stranu zákaznické brány a RemoteIpv4NetworkCidr stranu AWS, protože připojení se staví od zákaznické brány. Konzole to nikdy neřekne nahlas a nic nezamítne věrohodně vypadající záměnu.

Začněte u volání API, ne u popisku v konzoli

Přečtěte si referenci možností připojení jednou celou a všimněte si, že každá možnost je psaná z pohledu zákaznické brány. Není to náhoda v pojmenování. Tunel je popsán tak, jak ho vidí zařízení, které ho na vaší straně ukončuje, takže lokální znamená síť za vaší branou a vzdálené síť za branou AWS. Obě pole IPv4 i IPv6 se řídí stejným pravidlem.

Napište obě označení na lepicí lístek, než cokoli zadáte: strana zákazníka, strana AWS. Potom k nim přiřaďte své adresy.

Propočítaný příklad s přiřazenými rolemi

Předpokládejme, že lokální prefix je 10.20.0.0/16 a prefix VPC je 10.60.0.0/16. Možnosti se čtou přesně tak, jak role naznačují, s lokálním rozsahem v lokálním poli:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Teď předejte stejnou dvojici tomu, kdo konfiguruje protější zařízení, a sledujte, jak past sklapne. U mnoha firewallů lokální znamená rozhraní, na kterém tunel končí, a vzdálené znamená vzdálený konec, což je pro stranu AWS obrácené mapování. Oba lidé mohou mít pravdu a přesto vytvořit tunel, který nikdy nevznikne, protože oba slovníky popisují jiné koncové body.

Zopakujte cvičení na papíře v terminologii protistrany, s oběma CIDR a oběma označeními, než se dotknete kteréhokoli zařízení.

Výchozí hodnoty nejsou návrh

Stejná reference uvádí 0.0.0.0/0 jako výchozí pro obě pole IPv4, s obdobnými hodnotami pro IPv6. Když tyto hodnoty vidíte v existujícím připojení, znamená to, že pole nebylo nikdy zúženo, ne že je nastaven internetový výstup. Distribuce tras, směrovací tabulka podsítě a bezpečnostní kontroly stále rozhodují o tom, jaký provoz může skutečně projít; hodnoty CIDR jen popisují, které rozsahy je tunel ochoten vybírat.

Nahradit užší hodnotu výchozí tedy není trik kvůli kompatibilitě, který lze použít, když se tunel chová špatně. Rozšiřuje selektor a všechny ostatní vrstvy nechává přesně tak, jak byly.

Protější zařízení používá opačný pohled

Jakmile je strana AWS jasná, většina zbývajícího zmatku sídlí v konfiguraci protistrany. Zařízení, které se ptá na lokální síť a vzdálenou síť, popisuje jako lokální své vlastní rozhraní, takže váš rozsah VPC patří do jeho vzdáleného pole a váš lokální rozsah do jeho lokálního pole. Pokud se místo toho ptá na selektory provozu ve dvojicích, píšete oba směry výslovně a označení jsou méně důležitá než spárování.

Čtěte nápovědu k polím zařízení, ne názvy jeho polí. Výrobci používají stejná dvě slova pro tři různé pojmy.

Potom zkontrolujte stav tunelu pro obě fáze, protože neodpovídající selektor se obvykle projeví jako selhání druhé fáze, zatímco první fáze zůstává v klidu navázaná.

Měňte možnosti jako změnu, ne jako dokumentaci

Úprava možností připojení na živém VPN může přerušit službu, proto k ní přistupujte jako k údržbové akci s oknem, hodnotou pro návrat a poznámkou, koho se to týká. Nejprve zaznamenejte současné možnosti včetně obou polí CIDR a možností tunelu, aby byl návrat vložením, a ne rekonstrukcí.

Po změně ověřte ze strany AWS i od protistrany: zdroj v každém rozsahu dosáhne cíle v druhém rozsahu, v obou směrech. Jediný ping z jedné strany prokáže jediný selektor.

Potom aktualizujte dokumentaci připojení s vypsanými rolemi, aby další člověk nemusel znovu objevovat, že lokální znamená vaše strana.

Související články