AWS VPN-i kohalik ja kaug-CIDR: kumb pool on kumb?

Avad Site-to-Site VPN-i valikud, näed kahte CIDR-i välja, mis on märgistatud kohaliku ja kaugena, ja sirutad käe aadressi järele, mida pead kohalikuks: VPC. See on vastupidine sellele, mida API mõtleb. Ühenduse valikutes nimetab LocalIpv4NetworkCidr kliendi lüüsi poolt ja RemoteIpv4NetworkCidr AWS-i poolt, sest ühendus ehitatakse kliendi lüüsist. Konsool ei ütle seda kunagi valjusti ja miski ei lükka tagasi usutavana näivat vahetust.

Alusta API-kutsest, mitte konsooli sildist

Loe ühenduse valikute viidet üks kord tervenisti läbi ja pane tähele, et iga valik on kirjutatud kliendi lüüsi vaatepunktist. See ei ole nimetamise juhus. Tunnelit kirjeldatakse nii, nagu see paistab seadmele, mis selle sinu poolel lõpetab, seega kohalik tähendab sinu lüüsi taga olevat võrku ja kaugemal asuv tähendab AWS-i lüüsi taga olevat võrku. Nii IPv4- kui ka IPv6-väljad järgivad sama reeglit.

Kirjuta kaks silti kleebisele enne, kui midagi sisestad: kliendi pool, AWS-i pool. Seejärel vastenda oma aadressid neile.

Läbitöötatud näide rollidega küljes

Oletame, et kohalik eesliide on 10.20.0.0/16 ja VPC eesliide on 10.60.0.0/16. Valikud loetakse täpselt nii, nagu rollid vihjavad, kohaliku vahemikuga kohalikus väljas:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Anna nüüd sama paar sellele, kes seab üles partneri seadet, ja vaata, kuidas lõks rakendub. Paljudes tulemüürides tähendab kohalik liidest, kus tunnel lõpeb, ja kaugemal asuv tähendab kaugemat otsa, mis on AWS-i poole jaoks vastupidine vastendus. Mõlemal inimesel võib olla õigus ja ikkagi sündida tunnel, mis ei valmi kunagi, sest kaks sõnavara kirjeldavad erinevaid lõpp-punkte.

Korda harjutust paberil partneri terminoloogias, mõlema CIDR-i ja mõlema sildiga, enne kui ühtegi seadet puudutad.

Vaikeväärtused ei ole disain

Sama viide loetleb 0.0.0.0/0 vaikeväärtusena mõlema IPv4-välja jaoks, IPv6 jaoks on analoogsed väärtused. Nende väärtuste nägemine olemasolevas ühenduses ütleb, et välja ei ole kunagi kitsendatud, mitte et interneti väljapääs on seadistatud. Marsruutide jaotus, alamvõrgu marsruutide tabel ja turbekontrollid otsustavad endiselt, milline liiklus saab tegelikult läbi minna; CIDR-i väärtused kirjeldavad ainult seda, milliseid vahemikke on tunnel valmis valima.

Seega ei ole kitsama väärtuse asendamine vaikeväärtusega ühilduvusnipp, mida saab rakendada, kui tunnel käitub valesti. See laiendab valijat ja jätab kõik muud kihid täpselt selliseks, nagu need olid.

Partneri seade kasutab teist vaatenurka

Kui AWS-i pool on selge, on partneri konfiguratsioon koht, kus elab suurem osa ülejäänud segadusest. Seade, mis küsib kohalikku võrku ja kaugvõrku, kirjeldab oma liidest kohalikuna, seega sinu VPC vahemik läheb selle kaugvälja ja sinu kohalik vahemik selle kohalikku välja. Kui see küsib hoopis liiklusvalijaid paarikaupa, kirjutad mõlemad suunad selgesõnaliselt ja sildid loevad vähem kui sidumine.

Loe seadme väljade abi, mitte väljade nimesid. Tootjad kasutavad samu kahte sõna kolme eri mõiste jaoks.

Seejärel kontrolli tunneli olekut mõlema faasi jaoks, sest sobimatu valija ilmneb tavaliselt teise faasi tõrkena, samal ajal kui esimene faas püsib rahulikult püsti.

Muuda valikuid nagu muudatust, mitte nagu dokumentatsiooni

Ühenduse valikute muutmine töötaval VPN-il võib teenuse katkestada, seega käsitle seda hooldustoiminguna, millel on aken, tagasipööramise väärtus ja märge, keda see mõjutab. Salvesta esmalt praegused valikud, sealhulgas mõlemad CIDR-väljad ja tunneli valikud, et taastamine oleks kleepimine, mitte ülesehitamine.

Pärast muudatust kontrolli AWS-i poolelt ja partneri poolt: iga vahemiku allikas jõuab teise vahemiku sihtkohta, mõlemas suunas. Üks ping ühelt poolt tõestab ühte valijat.

Seejärel uuenda ühenduse dokumentatsiooni rollidega, mis on välja kirjutatud, et järgmine inimene ei peaks uuesti avastama, et kohalik tähendab sinu poolt.