Τοπικό και απομακρυσμένο CIDR στο AWS VPN: ποια πλευρά είναι ποια;

Ανοίγετε τις επιλογές του Site-to-Site VPN, βλέπετε δύο πεδία CIDR με ετικέτες τοπικό και απομακρυσμένο και απλώνετε το χέρι στη διεύθυνση που θεωρείτε τοπική: το VPC. Αυτό είναι το αντίθετο από αυτό που εννοεί το API. Στις επιλογές σύνδεσης, το LocalIpv4NetworkCidr ονομάζει την πλευρά της πύλης πελάτη και το RemoteIpv4NetworkCidr την πλευρά του AWS, επειδή η σύνδεση χτίζεται από την πύλη πελάτη. Η κονσόλα δεν το λέει ποτέ δυνατά και τίποτα δεν απορρίπτει μια ανταλλαγή που φαίνεται πιθανή.

Ξεκινήστε από την κλήση API, όχι από την ετικέτα της κονσόλας

Διαβάστε την αναφορά των επιλογών σύνδεσης μία φορά, ολόκληρη, και προσέξτε ότι κάθε επιλογή είναι γραμμένη από τη σκοπιά της πύλης πελάτη. Δεν είναι σύμπτωση της ονομασίας. Το τούνελ περιγράφεται όπως το βλέπει η συσκευή που το τερματίζει στη δική σας πλευρά, άρα τοπικό σημαίνει το δίκτυο πίσω από την πύλη σας και απομακρυσμένο το δίκτυο πίσω από την πύλη του AWS. Και τα πεδία IPv4 και IPv6 ακολουθούν τον ίδιο κανόνα.

Γράψτε τις δύο ετικέτες σε ένα αυτοκόλλητο πριν πληκτρολογήσετε οτιδήποτε: πλευρά πελάτη, πλευρά AWS. Μετά αντιστοιχίστε τις διευθύνσεις σας σε αυτές.

Ένα επεξεργασμένο παράδειγμα με τους ρόλους κολλημένους

Ας υποθέσουμε ότι το τοπικό πρόθεμα είναι 10.20.0.0/16 και το πρόθεμα του VPC είναι 10.60.0.0/16. Οι επιλογές διαβάζονται ακριβώς όπως υποδεικνύουν οι ρόλοι, με το τοπικό εύρος στο τοπικό πεδίο:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Τώρα δώστε το ίδιο ζεύγος σε όποιον ρυθμίζει τη συσκευή ομοτίμου και δείτε την παγίδα να ενεργοποιείται. Σε πολλά τείχη προστασίας, το τοπικό σημαίνει τη διεπαφή όπου τερματίζει το τούνελ και το απομακρυσμένο το άλλο άκρο, που είναι η αντίστροφη αντιστοίχιση για την πλευρά του AWS. Και οι δύο άνθρωποι μπορεί να έχουν δίκιο και παρόλα αυτά να παράγουν ένα τούνελ που δεν ολοκληρώνεται ποτέ, γιατί τα δύο λεξιλόγια περιγράφουν διαφορετικά άκρα.

Επαναλάβετε την άσκηση σε χαρτί με την ορολογία του ομοτίμου, με τα δύο CIDR και τις δύο ετικέτες, πριν αγγίξετε οποιαδήποτε συσκευή.

Οι προεπιλογές δεν είναι σχεδιασμός

Η ίδια αναφορά αναφέρει το 0.0.0.0/0 ως προεπιλογή και για τα δύο πεδία IPv4, με ανάλογες τιμές για το IPv6. Το να βλέπετε αυτές τις τιμές σε μια υπάρχουσα σύνδεση σας λέει ότι το πεδίο δεν περιορίστηκε ποτέ, όχι ότι έχει ρυθμιστεί έξοδος στο διαδίκτυο. Η διανομή διαδρομών, ο πίνακας διαδρομών του υποδικτύου και οι έλεγχοι ασφαλείας εξακολουθούν να καθορίζουν ποια κίνηση μπορεί πραγματικά να περάσει· οι τιμές CIDR περιγράφουν μόνο ποιες περιοχές είναι διατεθειμένο να επιλέξει το τούνελ.

Επομένως, η αντικατάσταση μιας στενότερης τιμής με την προεπιλογή δεν είναι κόλπο συμβατότητας που εφαρμόζετε όταν ένα τούνελ συμπεριφέρεται λάθος. Διευρύνει τον επιλογέα και αφήνει κάθε άλλο επίπεδο ακριβώς όπως ήταν.

Η συσκευή ομοτίμου χρησιμοποιεί την άλλη οπτική

Όταν η πλευρά του AWS είναι ξεκάθαρη, η διαμόρφωση του ομοτίμου είναι εκεί που ζει το μεγαλύτερο μέρος της υπόλοιπης σύγχυσης. Μια συσκευή που ζητά τοπικό δίκτυο και απομακρυσμένο δίκτυο περιγράφει τη δική της διεπαφή ως τοπική, οπότε το εύρος του VPC σας πηγαίνει στο απομακρυσμένο πεδίο της και το τοπικό σας εύρος στο τοπικό πεδίο της. Αν αντίθετα ζητά επιλογείς κίνησης ανά ζεύγη, γράφετε και τις δύο κατευθύνσεις ρητά και οι ετικέτες μετρούν λιγότερο από το ζευγάρωμα.

Διαβάστε τη βοήθεια των πεδίων της συσκευής και όχι τα ονόματα των πεδίων. Οι κατασκευαστές χρησιμοποιούν τις ίδιες δύο λέξεις για τρεις διαφορετικές έννοιες.

Μετά ελέγξτε την κατάσταση του τούνελ και για τις δύο φάσεις, αφού ένας επιλογέας που δεν ταιριάζει συνήθως εμφανίζεται ως αποτυχία της δεύτερης φάσης, ενώ η πρώτη φάση μένει ήσυχα εγκατεστημένη.

Αλλάξτε τις επιλογές σαν αλλαγή, όχι σαν τεκμηρίωση

Η επεξεργασία των επιλογών σύνδεσης σε ενεργό VPN μπορεί να διακόψει την υπηρεσία, οπότε αντιμετωπίστε το ως εργασία συντήρησης με παράθυρο, τιμή επαναφοράς και σημείωση για το ποιοι επηρεάζονται. Καταγράψτε πρώτα τις τρέχουσες επιλογές, μαζί με τα δύο πεδία CIDR και τις επιλογές του τούνελ, ώστε η επαναφορά να είναι επικόλληση και όχι ανακατασκευή.

Μετά την αλλαγή, επαληθεύστε από την πλευρά του AWS και από το ομότιμο: μια πηγή σε κάθε εύρος να φτάνει έναν προορισμό στο άλλο, και προς τις δύο κατευθύνσεις. Ένα μόνο ping από τη μία πλευρά αποδεικνύει έναν επιλογέα.

Έπειτα ενημερώστε την τεκμηρίωση της σύνδεσης με τους ρόλους γραμμένους, ώστε ο επόμενος να μη χρειαστεί να ανακαλύψει ξανά ότι τοπικό σημαίνει η δική σας πλευρά.