CIDR local y remoto en AWS VPN: ¿qué lado es cuál?

Abre las opciones de Site-to-Site VPN, ves dos casillas CIDR etiquetadas como local y remoto, y alargas la mano hacia la dirección que consideras local: la VPC. Eso es lo contrario de lo que significa la API. En las opciones de conexión, LocalIpv4NetworkCidr nombra el lado de la pasarela de cliente y RemoteIpv4NetworkCidr nombra el lado de AWS, porque la conexión se construye desde la pasarela de cliente. La consola nunca lo dice en voz alta y nada rechaza un intercambio que parece plausible.

Empieza por la llamada a la API, no por la etiqueta de la consola

Lee la referencia de las opciones de conexión una vez, de principio a fin, y fíjate en que cada opción está escrita desde el punto de vista de la pasarela de cliente. No es casualidad en el nombre. El túnel se describe tal como lo ve el dispositivo que lo termina en tu lado, así que local significa la red detrás de tu pasarela y remoto la red detrás de la pasarela de AWS. Tanto los campos IPv4 como los IPv6 siguen la misma regla.

Escribe las dos etiquetas en una nota adhesiva antes de teclear nada: lado del cliente, lado de AWS. Después asigna tus direcciones a ellas.

Un ejemplo trabajado con los roles pegados

Supón que el prefijo local es 10.20.0.0/16 y el prefijo de la VPC es 10.60.0.0/16. Las opciones se leen exactamente como sugieren los roles, con el rango local en el campo local:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Ahora entrega el mismo par a quien configure el dispositivo par y observa cómo salta la trampa. En muchos cortafuegos, local significa la interfaz en la que termina el túnel y remoto el extremo lejano, que es el mapeo inverso para el lado de AWS. Ambos pueden tener razón y aun así producir un túnel que nunca se completa, porque los dos vocabularios describen extremos distintos.

Repite el ejercicio en papel con la terminología del par, con ambos CIDR y ambas etiquetas, antes de tocar ningún dispositivo.

Los valores por defecto no son un diseño

La misma referencia lista 0.0.0.0/0 como valor por defecto para ambos campos IPv4, con valores análogos para IPv6. Ver esos valores en una conexión existente te dice que el campo nunca se estrechó, no que haya una salida a internet configurada. La distribución de rutas, la tabla de rutas de la subred y los controles de seguridad siguen decidiendo qué tráfico puede cruzar de verdad; los valores CIDR solo describen qué rangos está dispuesto a seleccionar el túnel.

Sustituir un valor más estrecho por el valor por defecto no es, por tanto, un truco de compatibilidad que puedas aplicar cuando un túnel se comporta mal. Amplía el selector y deja todas las demás capas exactamente como estaban.

El dispositivo par usa el otro punto de vista

Una vez claro el lado de AWS, la configuración del par es donde vive la mayor parte de la confusión restante. Un dispositivo que pide una red local y una red remota describe su propia interfaz como local, así que tu rango de VPC va en su campo remoto y tu rango local va en su campo local. Si en cambio pide selectores de tráfico por parejas, estás escribiendo ambas direcciones de forma explícita y las etiquetas importan menos que el emparejamiento.

Lee la ayuda de los campos del dispositivo, no los nombres de sus campos. Los fabricantes reutilizan las mismas dos palabras para tres conceptos distintos.

Después comprueba el estado del túnel en ambas fases, ya que un selector que no coincide suele aparecer como un fallo de la segunda fase mientras la primera sigue tranquilamente establecida.

Cambia las opciones como un cambio, no como documentación

Editar las opciones de conexión en una VPN en producción puede interrumpir el servicio, así que trátalo como una acción de mantenimiento con una ventana, un valor de reversión y una nota de a quién afecta. Captura primero las opciones actuales, incluidos ambos campos CIDR y las opciones del túnel, para que revertir sea pegar y no reconstruir.

Tras el cambio, verifica desde el lado de AWS y desde el par: un origen de cada rango alcanzando un destino del otro, en ambas direcciones. Un solo ping desde un lado demuestra un solo selector.

Después actualiza la documentación de la conexión con los roles escritos, para que la siguiente persona no tenga que redescubrir que local significa tu lado.