AWS Site-to-Site VPN: y tu allan, y tu mewn a’r rhagddodiad LAN

Mae rhan fwyaf o gamgymeriadau AWS Site-to-Site VPN yn gamgymeriadau cyfeiriad, a chânt eu gwneud cyn i unrhyw becyn symud. Mae cyfeiriadau allanol y twnnel yn cyrraedd y cymheiriaid IPsec, mae’r cyfeiriadau mewnol yn ffurfio’r ddolen llwybro rhyngddynt, a’r rhagddodiaid a warchodir yw’r hyn y mae’r ddolen honno ar ei gyfer. Copïwch un rôl i un arall a bydd y twnnel yn codi tra nad yw dim yn llwybro. Dyma’r dilyniant darllen-gwirio-gosod a ddefnyddiaf ar borth cleient BGP, gyda’r gwerthoedd wedi’u cymryd o’r ffurfweddiad dyfais a lawrlwythwyd yn hytrach nag o’r cof.

Tair rôl cyfeiriad, un twnnel

Mae’r cyfeiriadau allanol yn gyhoeddus ac yn perthyn i’r cymheiriaid IPsec: un y twnnel ar ochr AWS, ac identiti cyrraeddadwy’r porth cleient ar eich ochr chi, wedi’i addasu ar gyfer pa bynnag drefniant NAT sydd gennych mewn gwirionedd. Mae’r cyfeiriadau mewnol yn breifat ac yn perthyn i’r ddolen resymegol, y mae AWS yn ei dogfennu fel /30 a dynnwyd o 169.254.0.0/16. Y rhagddodiaid a warchodir yw’r rhwydweithiau VPC, ar-safle neu drafniciaeth yr ydych yn eu llwybro a’u hysbysebu dros y ddolen honno.

Aseinio rhagddodiad LAN fel cyfeiriad rhyngwyneb y twnnel yw fersiwn glasurol y camgymeriad hwn. Mae’r rhyngwyneb yn edrych fel pe bai wedi’i ffurfweddu, nid yw’r LAN yn cael ei hysbysebu, ac nid oes gan yr ochr bell lwybr ar ei gyfer. Gall y twnnel hyd yn oed basio ei ping mewnol ei hun tra bod pob enw cymhwysiad yn mynd i’r terfyn amser. Mae cyfeirlyfr opsiynau’r twnnel yn rhestru cyfyngiadau’r CIDR mewnol, gan gynnwys yr ystod cyfeiriadau y mae’n rhaid iddo ddod ohoni.

Darllenwch y gwerthoedd o’r ffurfweddiad a lawrlwythwyd

Lawrlwythwch y ffurfweddiad ar gyfer eich model dyfais penodol o’r cysylltiad, yna triniwch ei dabl cyfeiriad fel ffynhonnell y gwir. Mae’r consol yn dangos yr un gwerthoedd fesul twnnel: IP allanol, CIDR mewnol, a chyfeiriad cymheiriaid BGP ar ochr AWS. Mae’r ddau dwnnel yn wrthrychau ar wahân gyda phenbwyntiau allanol ar wahân a /30 mewnol ar wahân, er bod y ddau’n cario’r un rhwydweithiau a warchodir.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Os yw’r ffeil a lawrlwythwyd a’r consol byw yn anghytuno, mae’r ffeil yn hen. Lawrlwythwch eto yn lle golygu cyfeiriadau â llaw, oherwydd mae anghysondeb rhwng y pâr mewnol a chymydog ffurfweddedig y cymheiriaid yn fethiant BGP distaw.

Adeiladwch y ddolen gyda’r cyfeiriad cywir arni

Ar borth Linux mae’r twnnel yn rhyngwyneb VTI neu XFRM, ac mae’r /30 mewnol yn mynd ar y rhyngwyneb hwnnw. Mae dau dwnnel yn golygu dau ryngwyneb a dau gymydog BGP, un i bob penbwynt AWS. Mae’r confensiwn y mae AWS yn ei argraffu yn y ffurfweddiad dyfais a lawrlwythwyd yn rhoi’r porth preifat rhithwir ar gyfeiriad cyntaf pob /30 mewnol a’ch porth cleient ar yr ail, felly cymerwch y cyfeiriad uchaf a chymheirio â’r un isaf. Nid oes angen cyfeiriad LAN ar unrhyw beth yma.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Os yw’r ffeil ar gyfer eich model dyfais yn argraffu’r pâr gwrthwyneb, defnyddiwch ei rhifau a chadwch at y rheol: y cyfeiriad ar y rhyngwyneb yw eich un chi, mae cyfeiriad y cymheiriaid yn perthyn i AWS. Mae gwneud hyn yr ochr arall yn cynhyrchu twnnel nad yw byth yn cyrraedd Established, oherwydd y cymydog a ffurfweddwyd gennych yw’r cyfeiriad sydd eisoes gan eich rhyngwyneb eich hun.

Cadwch y marc a’r allwedd VTI ar yr un lefel â’r hyn y mae’r daemon IKE yn ei ddefnyddio i rwymo SA plentyn i’r rhyngwyneb, neu bydd traffig yn cyrraedd y twnnel heb ryngwyneb i lanio arno. Gwiriwch yr MTU yn erbyn y llwybr ac yn erbyn gosodiadau’r daemon IKE ei hun yn lle copïo rhif o safle arall.

Gwirwch BGP cyn i chi wirio llwybrau

Mae IPsec yn codi yn profi bod y cymheiriaid yn cytuno ar gymdeithas ddiogelwch a dim byd arall. Mae sesiwn BGP yn drafodaeth ar wahân dros y ddolen fewnol, felly darllenwch gyflwr y cymydog a chyfrifwyr y rhagddodiaid, yna eu cymharu â’r hyn y bwriedech ei hysbysebu.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Mae cyflwr Established gyda dim rhagddodiaid wedi’u derbyn yn broblem polisi neu hysbysebu, nid problem twnnel. Ailadroddwch y gwiriad cyfan ar yr ail dwnnel; mae un twnnel sy’n gweithio yn dweud bod y cyfeiriadau’n gredadwy, nid bod yr ail dwnnel wedi’i ffurfweddu o gwbl.

Dilynwch becyn a lwybrwyd, yna stopiwch

Unwaith y bydd y sesiwn yn cario’r rhagddodiaid, profwch y llwybr i’r ddwy gyfeiriad o’r porth: cyfeiriad ffynhonnell, y naid nesaf, a’r polisi diogelwch sy’n caniatáu’r traffig. Gall sesiwn BGP fod i fyny tra bo’r rhagddodiad penodol y mae’ch cymhwysiad ei angen wedi’i hidlo, wedi’i grynhoi i ffwrdd, neu wedi’i gyfeirio at y rhyngwyneb anghywir.

Reachability Analyzer yw offeryn ochr AWS sy’n cymryd ffynhonnell, cyrchfan a llwybr, ac yn adrodd pa gydran mewn ffurfweddiad a gefnogir a’i rhwystrodd. Defnyddiwch ef i brofi’r llwybr o’r VPC i gyfeiriad eich porth cleient, nid o westeiwr cymhwysiad. Mae’n dadansoddi ffurfweddiad ac nid yw’n anfon pecyn trwy wal dân ar-safle, felly cadwch ei farn ar wahân i’ch cyfrifwyr rhyngwyneb a’ch dal pecynnau eich hun.

Cofnodwch y pâr allanol, y /30 mewnol, a’r rhagddodiaid a hysbysebwyd ar gyfer pob twnnel mewn un tabl. Y tabl hwnnw sy’n gwneud y newid nesaf yn adolygadwy.