Pluraj LAN-oj en unu AWS VPN-tunelo: kion signifas la limo de SA
AWS permesas unu paron da IPsec SA por tunelo, kaj tio ne estas limo de unu subreto. Unue apartigu la protektan amplekson disde enkursigado kaj aliro.
Aldoni duan filian LAN-on al AWS Site-to-Site VPN ne postulas duan sendependan IPsec-asocion ene de tiu tunelo. La limo, kiun homoj falas, estas reala sed pli mallarĝa ol ĝi sonas: AWS dokumentas unu unikan IPsec-SA-paron por tunelo, unu envenan kaj unu elirantan, kaj la du tuneloj en konekto ĉiu ricevas sian propran paron. Tio estas eco de la servo, ne regulo, ke IPsec protektas unu subreton samtempe. La distingo plej gravas kiam policy-bazita klienta pordego transformas ĉiun politikan eron en propran asocion.
Komencu per la konekto, ne per la LAN-listo
Malfermu la konekton en la konzolo kaj rimarku, kiel ĝi estas enkursigata. Statika konekto portas la deklaratajn malproksimajn prefiksojn. BGP-konekto lernas ilin de la klienta pordego.
Ĉiel ajn, la tunelo estas itinbazita. Kio eniras ĝin, decidas la selektiloj, kiujn via aparato intertraktas, ne la nombro da subretoj, kiujn vi povas entajpi en formularo.
Rigardu, kion intertraktas la klienta pordego
Policy-bazita aparato povas transformi ĉiun politikan eron en propran SA. Du LAN-oj signifas du erojn, kio signifas du SA-ojn, kaj tie la limo por tunelo ekgravas. Postuloj de la klienta pordego avertas ĝuste pri ĉi tiu konduto kaj proponas unuigitajn regulojn sur tiuj aparatoj. Kontrolu la intertraktitajn selektilojn anstataŭ la nombron da ACL en la aparato.
La aparato devas esti agordita por prezenti ambaŭ prefiksojn sub unu politiko, alie la malproksima fino simple ne povas teni la rezulton.
Tri inventaroj, tenataj aparte
Miksu ĉi tiujn tri listojn kaj ĉiu ŝanĝo fariĝas konjekto. Tenu ilin kiel apartajn kolumnojn kaj plenigu ĉiun por via propra reto.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Nur la meza kolumno estas limigita de la SA-limo. La unua kolumno estas komerca fakto, kaj la tria estas tio, kio igas aplikaĵon funkcii. Legu la akceptitajn selektilojn en la aparato anstataŭ dedukti kovradon el la nombro da ACL-linioj, kiujn vi skribis.
Unuigu sen vastigi la permeson
Suma itinero estas la evidenta maniero akiri unu politikan eron, kaj ĝi ankaŭ estas kiel protektita aro silente kreskas. /20, kiu kovras ambaŭ /24, ankaŭ kovras adresojn, kiujn uzas nek unu nek la alia filio, kaj la tunelo volonte portos ilin. Se vi devas sumigi, parigu tion kun filtrado ĉe la ricevanta flanko, por ke la kroma spaco estu rifuzata anstataŭ nur neanoncata. Rifuzita pakaĵo estas pruvo. Neanoncita adreso estas nur foresto de pruvo.
Unuigi la protektan politikon estas ŝanĝo de tio, kio rajtas esti ĉifrata. Ĝi ne estas dono de aliro kaj ne devus esti traktata kiel tia.
Testu ambaŭ LAN-ojn, poste tenu ambaŭ tunelojn
Post kunordigita ŝanĝo, inspektu la aktivan protektan amplekson kaj poste plenumu realan aplikaĵon el ĉiu LAN. Funkcianta unu subreto pruvas nenion pri la selektila kovrado de la dua, kaj eĉ malpli pri ĝia responda vojo.
Tenu ambaŭ tunelojn en la dezajno. Unuigi politikon ne estas permeso forĵeti redundancon, kaj unu tunelo portanta ĉiun filian LAN-on igas la sekvan prizorgan fenestron paneo.
Skribu la intertraktitajn selektilojn, la du prefiksojn kaj la itinerajn posedantojn en la saman ŝanĝregistron. Kiam venos tria LAN, tiu registro diros al vi, ĉu vi aldonas selektilon aŭ komencas denove.