Více sítí LAN v jednom tunelu AWS VPN: co znamená limit SA
AWS povoluje jeden pár IPsec SA na tunel a to není limit jedné podsítě. Nejprve oddělte rozsah ochrany od směrování a přístupu.
Přidání druhé pobočkové LAN do AWS Site-to-Site VPN nevyžaduje druhou nezávislou asociaci IPsec uvnitř tohoto tunelu. Limit, o který lidé zakopávají, je skutečný, ale užší, než to zní: AWS dokumentuje jeden jedinečný pár IPsec SA na tunel, jeden příchozí a jeden odchozí, a oba tunely v jednom připojení dostávají každý svůj vlastní pár. To je vlastnost služby, nikoli pravidlo, že IPsec chrání vždy jednu podsíť. Rozdíl je nejdůležitější, když brána zákazníka založená na zásadách přemění každou položku zásad na vlastní asociaci.
Začněte připojením, ne seznamem sítí LAN
Otevřete připojení v konzoli a všimněte si, jak je směrováno. Statické připojení nese vzdálené prefixy, které jste deklarovali. Připojení BGP je učí od brány zákazníka.
Ať tak či onak, tunel je založen na trasách. Co do něj jde, určují selektory, které vaše zařízení vyjednává, ne počet podsítí, které můžete napsat do formuláře.
Sledujte, co brána zákazníka vyjednává
Zařízení založené na zásadách může přeměnit každou položku zásad na vlastní SA. Dvě LAN znamenají dvě položky, což znamená dvě SA, a právě zde začíná být limit na tunel důležitý. Požadavky na bránu zákazníka varují přesně před tímto chováním a navrhují konsolidovaná pravidla na těchto zařízeních. Kontrolujte vyjednané selektory, ne počet pravidel ACL na zařízení.
Zařízení musí být nakonfigurováno tak, aby prezentovalo oba prefixy pod jedněmi zásadami, jinak vzdálený konec výsledek prostě neudrží.
Tři inventáře, držené odděleně
Smíchejte tyto tři seznamy a každá změna se stane hádankou. Držte je jako samostatné sloupce a každý vyplňte pro svou vlastní síť.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Limitem SA je omezen pouze prostřední sloupec. První sloupec je obchodní fakt a třetí je to, co aplikaci umožňuje fungovat. Čtěte přijaté selektory na zařízení, místo abyste pokrytí odvozovali z počtu řádků ACL, které jste napsali.
Konsolidujte bez rozšíření oprávnění
Souhrnná trasa je zřejmý způsob, jak získat jednu položku zásad, a také způsob, jak chráněná množina tiše roste. /20, které pokrývá obě /24, pokrývá i adresy, které žádná z poboček nepoužívá, a tunel je ochotně ponese. Pokud musíte sumarizovat, spojte to s filtrováním na přijímající straně, aby byl prostor navíc odmítnut, ne jen neohlášen. Odmítnutý paket je důkaz. Neohlášená adresa je jen nepřítomnost důkazu.
Konsolidace ochranné zásady je změnou toho, co smí být šifrováno. Není to udělení přístupu a nemělo by se tak brát.
Otestujte obě LAN a pak oba tunely ponechte
Po koordinované změně zkontrolujte aktivní rozsah ochrany a poté spusťte skutečnou aplikaci z každé LAN. Fungující jedna podsíť nic nedokazuje o pokrytí selektorů druhé a ještě méně o její zpětné cestě.
Ponechte v návrhu oba tunely. Konsolidace zásad není svolení zahodit redundanci a jediný tunel nesoucí každou pobočkovou LAN promění příští servisní okno ve výpadek.
Zapište vyjednané selektory, oba prefixy a vlastníky tras do stejného záznamu změny. Když dorazí třetí LAN, tento záznam vám řekne, zda přidáváte selektor, nebo začínáte znovu.