Mitu LAN-i ühes AWS VPN tunnelis: mida SA piirang tähendab
AWS lubab ühte IPsec SA paari tunneli kohta ja see ei ole ühe alavõrgu piirang. Eraldage esmalt kaitseala marsruutimisest ja juurdepääsust.
Teise harukontori LAN-i lisamine AWS Site-to-Site VPN-ile ei nõua teist sõltumatut IPsec-i assotsiatsiooni selle tunneli sees. Piirang, mille otsa inimesed komistavad, on tõeline, kuid kitsam, kui see kõlab: AWS dokumenteerib ühe unikaalse IPsec SA paari tunneli kohta, ühe sissetuleva ja ühe väljuva, ning ühe ühenduse kaks tunnelit saavad kumbki oma paari. See on teenuse omadus, mitte reegel, et IPsec kaitseb korraga ühte alavõrku. Erinevus on kõige olulisem siis, kui poliitikal põhinev kliendi lüüs muudab iga poliitikakirje omaette assotsiatsiooniks.
Alustage ühendusest, mitte LAN-ide loendist
Avage ühendus konsoolis ja pange tähele, kuidas seda marsruuditakse. Staatiline ühendus kannab teie deklareeritud kaugprefikseid. BGP-ühendus õpib need kliendi lüüsist.
Ükskõik kuidas, tunnel põhineb marsruutidel. Selle sisu otsustavad selektorid, mida teie seade läbiräägib, mitte vormi sisestatavate alavõrkude arv.
Jälgige, mida kliendi lüüs läbiräägib
Poliitikal põhinev seade võib muuta iga poliitikakirje omaette SA-ks. Kaks LAN-i tähendab kahte kirjet, mis tähendab kahte SA-d, ja siin hakkab tunnelipõhine piirang loendama. Kliendi lüüsi nõuded hoiatavad täpselt sellise käitumise eest ja soovitavad neil seadmetel konsolideeritud reegleid. Kontrollige läbiräägitud selektoreid, mitte seadme ACL-ide arvu.
Seade tuleb konfigureerida esitama mõlemat prefiksit ühe poliitika all, muidu ei suuda vastaspool tulemust lihtsalt hoida.
Kolm inventuuri, eraldi hoitud
Segage need kolm loendit ja iga muudatus muutub oletuseks. Hoidke neid eraldi veergudena ja täitke igaüks oma võrgu jaoks.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Ainult keskmine veerg on SA piiranguga piiratud. Esimene veerg on ärialane fakt ja kolmas on see, mis paneb rakenduse tööle. Lugege seadmel aktsepteeritud selektoreid, selle asemel et tuletada katvust teie kirjutatud ACL-ridade arvust.
Konsolideerige luba laiendamata
Kokkuvõtlik marsruut on ilmne viis ühe poliitikakirje saamiseks ja see on ka viis, kuidas kaitstud hulk vaikselt kasvab. /20, mis katab mõlemad /24, katab ka aadresse, mida kumbki haru ei kasuta, ja tunnel kannab neid hea meelega. Kui peate kokku võtma, siduge see vastuvõtva poole filtreerimisega, et lisaruum lükataks tagasi, mitte lihtsalt ei teatataks. Tagasilükatud pakett on tõend. Teatamata aadress on vaid tõendi puudumine.
Kaitsepoliitika konsolideerimine on muudatus selles, mida tohib krüpteerida. See ei ole juurdepääsu andmine ja seda ei tohiks sellena käsitleda.
Testige mõlemat LAN-i ja hoidke siis mõlemad tunnelid
Pärast koordineeritud muudatust kontrollige aktiivset kaitseala ja käivitage siis igast LAN-ist päris rakendus. Ühe alavõrgu toimimine ei tõesta midagi teise selektorite katvuse kohta ja veel vähem selle vastusmarsruudi kohta.
Hoidke mõlemad tunnelid projektis. Poliitika konsolideerimine ei ole luba koondamist ära visata ja üks tunnel, mis kannab iga harukontori LAN-i, muudab järgmise hooldusakna katkestuseks.
Kirjutage läbiräägitud selektorid, mõlemad prefiksid ja marsruutide omanikud samasse muudatuskirjesse. Kui saabub kolmas LAN, ütleb see kirje teile, kas lisate selektori või alustate uuesti.