Mwy nag un LAN ar un twnnel VPN AWS: beth y mae terfyn SA yn ei olygu
Mae AWS yn caniatáu un pâr IPsec SA fesul twnnel, ac nid yw hynny'n derfyn un is-rwydwaith. Gwahaniaethwch gwmpas amddiffyn rhag llwybro a mynediad yn gyntaf.
Nid yw ychwanegu ail LAN cangen at AWS Site-to-Site VPN yn gofyn am ail gysylltiad IPsec annibynnol y tu mewn i'r twnnel hwnnw. Mae'r terfyn y mae pobl yn baglu drosto yn real ond yn gulach nag y mae'n swnio: mae AWS yn dogfennu un pâr IPsec SA unigryw fesul twnnel, un i mewn ac un allan, ac mae'r ddau dwnnel mewn un cysylltiad yn cael eu pâr eu hunain. Mae hynny'n briodwedd o'r gwasanaeth, nid yn rheol bod IPsec yn amddiffyn un is-rwydwaith ar y tro. Mae'r gwahaniaeth yn bwysicaf pan fydd porth cleient yn seiliedig ar bolisi yn troi pob cofnod polisi yn gysylltiad ei hun.
Dechreuwch gyda'r cysylltiad, nid y rhestr LAN
Agorwch y cysylltiad yn y consol a sylwch sut y caiff ei lwybro. Mae cysylltiad statig yn cario'r rhagddodiadau o bell a ddatganwyd gennych. Mae cysylltiad BGP yn eu dysgu gan y porth cleient.
Un ffordd neu'r llall, mae'r twnnel yn seiliedig ar lwybrau. Penderfynir beth sy'n mynd i mewn iddo gan y detholwyr y mae eich dyfais yn eu trafod, nid gan nifer yr is-rwydweithiau y gallwch eu teipio mewn ffurflen.
Gwyliwch beth y mae'r porth cleient yn ei drafod
Gall dyfais sy'n seiliedig ar bolisi droi pob cofnod polisi yn SA ei hun. Mae dau LAN yn golygu dau gofnod, sy'n golygu dau SA, a dyna lle mae'r terfyn fesul twnnel yn dechrau cyfrif. Gofynion y porth cleient yn rhybuddio am yr union ymddygiad hwn ac yn awgrymu rheolau cyfunol ar y dyfeisiau hynny. Archwiliwch y detholwyr a drafodwyd yn hytrach na chyfrif yr ACLau ar y blwch.
Rhaid ffurfweddu'r ddyfais i gyflwyno'r ddau ragddodiad o dan un polisi, neu ni all y pen pell gyflwyno'r canlyniad o gwbl.
Tri rhestr eiddo, a gedwir ar wahân
Cymysgwch y tair rhestr hyn ac mae pob newid yn dod yn ddyfalu. Cadwch nhw fel colofnau ar wahân a llenwch bob un ar gyfer eich rhwydwaith eich hun.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Dim ond y golofn ganol sydd wedi'i chyfyngu gan derfyn yr SA. Mae'r golofn gyntaf yn ffaith fusnes, a'r drydedd yw'r hyn sy'n gwneud i gymhwysiad weithio. Darllenwch y detholwyr a dderbyniwyd ar y ddyfais yn hytrach na chasglu cwmpas o nifer y llinellau ACL a ysgrifennwyd gennych.
Cyfuno heb ymestyn y caniatâd
Llwybr cryno yw'r ffordd amlwg o gael un cofnod polisi, a dyna hefyd sut y mae set warchodedig yn tyfu'n dawel. Mae /20 sy'n cwmpasu'r ddau /24 hefyd yn cwmpasu cyfeiriadau nad yw'r naill na'r llall o'r canghennau yn eu defnyddio, a bydd y twnnel yn eu cario'n fodlon. Os oes rhaid crynhoi, parwch ef â hidlo ar yr ochr dderbyn fel bod y gofod ychwanegol yn cael ei wrthod yn hytrach na dim ond heb ei gyhoeddi. Mae pecyn a wrthodwyd yn dystiolaeth. Nid yw cyfeiriad heb ei gyhoeddi ond yn absenoldeb tystiolaeth.
Mae cyfuno'r polisi amddiffyn yn newid i'r hyn y gellir ei amgryptio. Nid yw'n grant mynediad, ac ni ddylid ei drin felly.
Profwch y ddau LAN, yna cadwch y ddau dwnnel
Ar ôl newid cydlynol, archwiliwch y cwmpas amddiffyn gweithredol ac yna arfer cymhwysiad go iawn o bob LAN. Nid yw un is-rwydwaith yn gweithio yn profi dim am gwmpas detholwyr yr ail, ac yn llai fyth am ei lwybr ateb.
Cadwch y ddau dwnnel yn y dyluniad. Nid yw cyfuno polisi yn ganiatâd i daflu disbaredd i ffwrdd, ac mae un twnnel yn cario pob LAN cangen yn troi'r ffenestr gynnal nesaf yn doriad gwasanaeth.
Ysgrifennwch y detholwyr a drafodwyd, y ddau ragddodiad a pherchnogion y llwybrau yn yr un cofnod newid. Pan ddaw trydydd LAN, bydd y cofnod hwnnw'n dweud wrthych a ydych yn ychwanegu detholwr neu'n dechrau o'r newydd.