Loka kaj fora CIDR en AWS VPN: kiu flanko estas kiu?

Vi malfermas la agordojn de Site-to-Site VPN, vidas du CIDR-kampojn etikeditajn kiel loka kaj fora, kaj etendas la manon al la adreso, kiun vi konsideras loka: la VPC. Tio estas la malo de tio, kion celas la API. En la konektaj agordoj, LocalIpv4NetworkCidr nomas la flankon de la klienta enirejo, kaj RemoteIpv4NetworkCidr nomas la flankon de AWS, ĉar la kliento-enirejo estas la loko, de kie la konekto estas konstruata. La konzolo neniam diras tion laŭte, kaj nenio rifuzas konvinke aspektan interŝanĝon.

Komencu ĉe la API-alvoko, ne ĉe la konzola etikedo

Legu la referencon de la konektaj agordoj unufoje, tute, kaj rimarku, ke ĉiu agordo estas skribita el la vidpunkto de la klienta enirejo. Tio ne estas hazardo de nomado. La tunelo estas priskribata tiel, kiel ĝi aperas al la aparato, kiu finas ĝin ĉe via flanko, do loka signifas la reton malantaŭ via enirejo kaj fora la reton malantaŭ la AWS-enirejo. Kaj la kampoj IPv4 kaj IPv6 sekvas la saman regulon.

Skribu la du etikedojn sur gluan noteton antaŭ ol tajpi ion ajn: klienta flanko, AWS-flanko. Poste surmapigu viajn adresojn al ili.

Prilaborita ekzemplo kun la roloj aldonitaj

Supozu, ke la loka prefikso estas 10.20.0.0/16 kaj la VPC-prefikso estas 10.60.0.0/16. La agordoj legiĝas ĝuste tiel, kiel la roloj sugestas, kun la loka gamo en la loka kampo:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Nun donu la saman paron al tiu, kiu agordas la kunulan aparaton, kaj observu la kaptilon ekagi. Ĉe multaj fajroŝirmiloj, loka signifas la interfacon, sur kiu la tunelo finiĝas, kaj fora la malproksiman finon, kio estas la inversa mapado por la AWS-flanko. Ambaŭ homoj povas esti pravaj kaj tamen produkti tunelon, kiu neniam kompletiĝas, ĉar la du vortaroj priskribas malsamajn finpunktojn.

Ripetu la ekzercon sur papero en la terminologio de la kunulo, kun ambaŭ CIDR-oj kaj ambaŭ etikedoj, antaŭ ol tuŝi ajnan aparaton.

Defaŭltoj ne estas dezajno

La sama referenco listigas 0.0.0.0/0 kiel la defaŭlton por ambaŭ IPv4-kampoj, kun analogaj valoroj por IPv6. Vidi tiujn valorojn en ekzistanta konekto diras al vi, ke la kampo neniam estis mallarĝigita, ne ke estas agordita interreta eliro. Itinera distribuo, la itinera tabelo de la subreto kaj la sekurecaj kontroloj ankoraŭ decidas, kiu trafiko povas efektive trapasi; la CIDR-valoroj nur priskribas, kiujn gamojn la tunelo pretas elekti.

Anstataŭigi pli mallarĝan valoron per la defaŭlto do ne estas kompatiga lertaĵo, kiun oni apliku, kiam tunelo miskondutas. Ĝi larĝigas la elektilon kaj lasas ĉiun alian tavolon ĝuste tia, kia ĝi estis.

La kunula aparato uzas la alian vidpunkton

Post kiam la AWS-flanko estas klara, la agordo de la kunulo estas la loko, kie loĝas la plej granda parto de la restanta konfuzo. Aparato, kiu petas lokan reton kaj foran reton, priskribas sian propran interfacon kiel lokan, do via VPC-gamo iras en ĝian foran kampon kaj via loka gamo en ĝian lokan kampon. Se ĝi anstataŭe petas trafikajn elektilojn laŭ paroj, vi skribas ambaŭ direktojn eksplicite kaj la etikedoj malpli gravas ol la parigo.

Legu la helpon de la kampoj de la aparato, ne la nomojn de ĝiaj kampoj. Fabrikantoj reuzas la samajn du vortojn por tri malsamaj konceptoj.

Poste kontrolu la tunelan staton por ambaŭ fazoj, ĉar neakordigita elektilo kutime aperas kiel fiasko de la dua fazo, dum la unua fazo restas trankvile starigita.

Ŝanĝu la agordojn kiel ŝanĝon, ne kiel dokumentaron

Redakti konektajn agordojn en funkcianta VPN povas interrompi la servon, do traktu ĝin kiel prizorgan agon kun fenestro, restariga valoro kaj noto pri tio, kiun ĝi tuŝas. Unue registru la nunajn agordojn, inkluzive ambaŭ CIDR-kampojn kaj la tunelajn agordojn, por ke restarigo estu algluo, ne rekonstruo.

Post la ŝanĝo, kontrolu de la AWS-flanko kaj de la kunulo: fonto en ĉiu gamo atinganta celon en la alia, en ambaŭ direktoj. Unu ping de unu flanko pruvas unu elektilon.

Poste ĝisdatigu la konektan dokumentaron kun la roloj elskribitaj, por ke la sekva persono ne devu reeltrovi, ke loka signifas vian flankon.