Varias LAN en un solo túnel VPN de AWS: qué significa el límite de SA

Añadir una segunda LAN de sucursal a una VPN de sitio a sitio de AWS no requiere una segunda asociación IPsec independiente dentro de ese túnel. El límite con el que la gente tropieza es real, pero más estrecho de lo que suena: AWS documenta un par único de IPsec SA por túnel, uno entrante y otro saliente, y los dos túneles de una conexión reciben cada uno su propio par. Eso es una propiedad del servicio, no una regla de que IPsec protege una subred a la vez. La distinción importa sobre todo cuando una puerta de enlace de cliente basada en políticas convierte cada entrada de política en su propia asociación.

Empiece por la conexión, no por la lista de LAN

Abra la conexión en la consola y fíjese en cómo se enruta. Una conexión estática transporta los prefijos remotos que usted declaró. Una conexión BGP los aprende de la puerta de enlace de cliente.

En cualquier caso, el túnel se basa en rutas. Lo que entra en él lo deciden los selectores que negocia su dispositivo, no el número de subredes que pueda escribir en un formulario.

Vigile lo que negocia la puerta de enlace de cliente

Un dispositivo basado en políticas puede convertir cada entrada de política en su propia SA. Dos LAN significan dos entradas, lo que significa dos SA, y ahí es donde el límite por túnel empieza a importar. Requisitos de la puerta de enlace de cliente advierten exactamente de este comportamiento y sugieren reglas consolidadas en esos dispositivos. Revise los selectores negociados en lugar del recuento de ACL en el equipo.

El dispositivo debe configurarse para presentar ambos prefijos bajo una sola política, o el extremo remoto simplemente no podrá sostener el resultado.

Tres inventarios, mantenidos por separado

Mezcle estas tres listas y cada cambio se convierte en conjeturas. Manténgalas como columnas separadas y complete cada una para su propia red.

Solo la columna central está limitada por el límite de SA. La primera columna es un hecho de negocio, y la tercera es lo que hace funcionar una aplicación. Lea los selectores aceptados en el dispositivo en lugar de inferir la cobertura a partir del número de líneas de ACL que escribió.

Consolide sin ampliar el permiso

Una ruta resumida es la forma obvia de obtener una entrada de política, y también es como un conjunto protegido crece en silencio. Un /20 que cubre ambas /24 también cubre direcciones que ninguna de las dos sucursales usa, y el túnel las transportará gustosamente. Si debe resumir, combínelo con filtrado en el lado receptor para que el espacio extra se rechace en lugar de simplemente no anunciarse. Un paquete rechazado es evidencia. Una dirección no anunciada es solo una ausencia de evidencia.

Consolidar la política de protección es un cambio en qué puede cifrarse. No es una concesión de acceso y no debe tratarse como tal.

Pruebe ambas LAN y luego conserve ambos túneles

Tras un cambio coordinado, inspeccione el alcance de protección activo y luego ejecute una aplicación real desde cada LAN. Que una subred funcione no demuestra nada sobre la cobertura de selectores de la segunda, y mucho menos sobre su ruta de respuesta.

Conserve ambos túneles en el diseño. Consolidar la política no es permiso para descartar redundancia, y un solo túnel que transporte cada LAN de sucursal convierte la siguiente ventana de mantenimiento en una interrupción.

Escriba los selectores negociados, los dos prefijos y los propietarios de rutas en el mismo registro de cambios. Cuando llegue una tercera LAN, ese registro le dirá si está añadiendo un selector o empezando de nuevo.