Πολλά LAN σε μία σήραγγα AWS VPN: τι σημαίνει το όριο SA

Η προσθήκη ενός δεύτερου LAN υποκαταστήματος σε ένα AWS Site-to-Site VPN δεν απαιτεί δεύτερη ανεξάρτητη συσχέτιση IPsec μέσα σε αυτή τη σήραγγα. Το όριο στο οποίο σκοντάφτουν οι άνθρωποι είναι πραγματικό αλλά στενότερο απ’ ό,τι ακούγεται: η AWS τεκμηριώνει ένα μοναδικό ζεύγος IPsec SA ανά σήραγγα, ένα εισερχόμενο και ένα εξερχόμενο, και οι δύο σήραγγες σε μία σύνδεση παίρνουν η καθεμία το δικό της ζεύγος. Αυτό είναι ιδιότητα της υπηρεσίας, όχι κανόνας ότι το IPsec προστατεύει ένα υποδίκτυο κάθε φορά. Η διάκριση έχει τη μεγαλύτερη σημασία όταν μια πύλη πελάτη βασισμένη σε πολιτικές μετατρέπει κάθε καταχώριση πολιτικής σε δική της συσχέτιση.

Ξεκινήστε από τη σύνδεση, όχι από τη λίστα LAN

Ανοίξτε τη σύνδεση στην κονσόλα και σημειώστε πώς δρομολογείται. Μια στατική σύνδεση μεταφέρει τα απομακρυσμένα προθέματα που δηλώσατε. Μια σύνδεση BGP τα μαθαίνει από την πύλη πελάτη.

Όπως και να έχει, η σήραγγα βασίζεται σε δρομολόγηση. Το τι μπαίνει μέσα της το αποφασίζουν οι επιλογείς που διαπραγματεύεται η συσκευή σας, όχι ο αριθμός των υποδικτύων που μπορείτε να πληκτρολογήσετε σε μια φόρμα.

Προσέξτε τι διαπραγματεύεται η πύλη πελάτη

Μια συσκευή βασισμένη σε πολιτικές μπορεί να μετατρέψει κάθε καταχώριση πολιτικής σε δική της SA. Δύο LAN σημαίνουν δύο καταχωρίσεις, που σημαίνει δύο SA, και εδώ αρχίζει να μετράει το όριο ανά σήραγγα. Οι απαιτήσεις της πύλης πελάτη προειδοποιούν ακριβώς για αυτή τη συμπεριφορά και προτείνουν ενοποιημένους κανόνες σε αυτές τις συσκευές. Ελέγξτε τους διαπραγματευμένους επιλογείς αντί για τον αριθμό των ACL στη συσκευή.

Η συσκευή πρέπει να ρυθμιστεί ώστε να παρουσιάζει και τα δύο προθέματα κάτω από μία πολιτική, αλλιώς το απομακρυσμένο άκρο απλώς δεν μπορεί να κρατήσει το αποτέλεσμα.

Τρία μητρώα, κρατημένα χωριστά

Ανακατέψτε αυτές τις τρεις λίστες και κάθε αλλαγή γίνεται εικασία. Κρατήστε τις ως ξεχωριστές στήλες και συμπληρώστε την καθεμία για το δικό σας δίκτυο.

Μόνο η μεσαία στήλη περιορίζεται από το όριο SA. Η πρώτη στήλη είναι επιχειρηματικό γεγονός, και η τρίτη είναι αυτό που κάνει μια εφαρμογή να λειτουργεί. Διαβάστε τους αποδεκτούς επιλογείς στη συσκευή αντί να συνάγετε κάλυψη από τον αριθμό των γραμμών ACL που γράψατε.

Ενοποιήστε χωρίς να διευρύνετε την άδεια

Μια συνοπτική διαδρομή είναι ο προφανής τρόπος για μία καταχώριση πολιτικής, και είναι επίσης ο τρόπος με τον οποίο ένα προστατευμένο σύνολο μεγαλώνει σιωπηλά. Ένα /20 που καλύπτει και τα δύο /24 καλύπτει επίσης διευθύνσεις που δεν χρησιμοποιεί κανένα από τα δύο υποκαταστήματα, και η σήραγγα θα τις μεταφέρει ευχαρίστως. Αν πρέπει οπωσδήποτε να συνοψίσετε, συνδυάστε το με φιλτράρισμα στην πλευρά λήψης ώστε ο επιπλέον χώρος να απορρίπτεται και όχι απλώς να μην ανακοινώνεται. Ένα πακέτο που απορρίφθηκε είναι απόδειξη. Μια διεύθυνση που δεν ανακοινώθηκε είναι μόνο απουσία απόδειξης.

Η ενοποίηση της πολιτικής προστασίας είναι αλλαγή στο τι μπορεί να κρυπτογραφηθεί. Δεν είναι παραχώρηση πρόσβασης και δεν πρέπει να αντιμετωπίζεται ως τέτοια.

Δοκιμάστε και τα δύο LAN και μετά κρατήστε και τις δύο σήραγγες

Μετά από μια συντονισμένη αλλαγή, επιθεωρήστε το ενεργό πεδίο προστασίας και μετά εκτελέστε μια πραγματική εφαρμογή από κάθε LAN. Το ότι λειτουργεί ένα υποδίκτυο δεν αποδεικνύει τίποτα για την κάλυψη επιλογέων του δεύτερου, και ακόμη λιγότερο για τη διαδρομή απάντησής του.

Κρατήστε και τις δύο σήραγγες στον σχεδιασμό. Η ενοποίηση πολιτικής δεν είναι άδεια να πετάξετε τον πλεονασμό, και μία σήραγγα που μεταφέρει κάθε LAN υποκαταστήματος κάνει το επόμενο παράθυρο συντήρησης διακοπή.

Γράψτε τους διαπραγματευμένους επιλογείς, τα δύο προθέματα και τους ιδιοκτήτες δρομολογίων στο ίδιο αρχείο αλλαγής. Όταν φτάσει ένα τρίτο LAN, αυτό το αρχείο σάς λέει αν προσθέτετε επιλογέα ή ξεκινάτε από την αρχή.