AWS Site-to-Site VPN: kanpoaldea, barrualdea eta LAN aurrizkia

AWS Site-to-Site VPN-eko akats gehienak helbide-akatsak dira, eta edozein pakete mugitu aurretik egiten dira. Tunelaren kanpoko helbideak IPsec pareetara iristen dira, barruko helbideek haien arteko bideratze-esteka osatzen dute, eta babestutako aurrizkiak esteka horren xedea dira. Rol bat beste batean kopiatu eta tunela altxatzen da, ezer bideratu gabe. Hona hemen erabili ohi dudan irakurri-egiaztatu-konfiguratu sekuentzia BGP bezeroarentzako ate batean, balioak deskargatutako gailuaren konfiguraziotik hartuta, memoriatik beharrean.

Hiru helbide-rol, tunel bakarra

Kanpoko helbideak publikoak dira eta IPsec pareenak: bat tunel bakoitzeko AWS aldean, eta bezeroarentzako atearen identitate irisgarria zure aldean, benetan duzun NAT antolamenduari egokituta. Barruko helbideak pribatuak dira eta esteka logikoarenak, AWSek 169.254.0.0/16-tik ateratako /30 gisa dokumentatzen duena. Babestutako aurrizkiak esteka horren bidez bideratzen eta iragartzen dituzun VPC, lokal edo trantsizio sareak dira.

LAN aurrizki bat tunelaren interfazearen helbide gisa esleitzea akats honen bertsio klasikoa da. Interfazea konfiguratuta dirudi, LANa ez da iragartzen, eta kontrako aldeak ez du haren biderik. Tunelak bere barruko pinga gaindi dezake, aplikazio-izen bakoitzak denbora-muga jotzen duen bitartean. Tunel aukeren erreferentziak barruko CIDRren murrizketak zerrendatzen ditu, besteak beste zein helbide-tartetik etorri behar duen.

Irakurri balioak deskargatutako konfiguraziotik

Deskargatu zure gailu-eredu zehatzaren konfigurazioa konexiotik, eta gero hartu haren helbide-taula egia-iturritzat. Kontsolak balio berak erakusten ditu tunel bakoitzeko: kanpoko IPa, barruko CIDRa eta AWS aldeko BGP parearen helbidea. Bi tunelak objektu bereiziak dira, kanpoko mutur bereiziekin eta barruko /30 bereiziekin, nahiz eta biek sare babestu berberak garraiatu.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Deskargatutako fitxategia eta zuzeneko kontsola bat ez badatoz, fitxategia zaharkituta dago. Deskargatu berriro helbideak eskuz editatu beharrean, barruko parearen eta parearen konfiguratutako bizilagunaren arteko desadostasuna BGP hutsegite isila delako.

Eraiki esteka helbide egokiarekin

Linux ate batean tunela VTI edo XFRM interfazea da, eta barruko /30 interfaze horretan jartzen da. Bi tunel bi interfaze eta bi BGP bizilagun esan nahi ditu, bat AWS mutur bakoitzeko. AWSek deskargatutako gailu-konfigurazioan inprimatzen duen konbentzioak ate pribatu birtuala barruko /30 bakoitzaren lehen helbidean jartzen du eta zure bezeroarentzako atea bigarrenean, beraz helbide altuena hartzen duzu eta baxuenarekin parekatzen. Ezerk ez du hemen LAN helbiderik behar.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Zure gailu-ereduaren fitxategiak parekatze alderantzizkoa inprimatzen badu, erabili haren zenbakiak eta eutsi arauari: interfazeko helbidea zurea da, parearen helbidea AWSena da. Alderantziz egiteak inoiz Established-era iristen ez den tunela sortzen du, konfiguratu duzun bizilaguna zure interfazeak jada duen helbidea delako.

Edozein IKE deabruk haur-SA bat interfazera lotzeko erabiltzen duenarekin lerrokaturik eduki marka eta VTI gakoa, bestela trafikoa tunelera iristen da lurreratzeko interfazerik gabe. Egiaztatu MTUa bidearen aurka eta IKE deabruaren ezarpenen aurka, beste gune bateko zenbaki bat kopiatu beharrean.

Egiaztatu BGP bideak egiaztatu aurretik

IPsec altxatzeak pareek segurtasun-elkarte batean ados daudela frogatzen du, eta besterik ez. BGP saioa barruko estekaren gaineko negoziazio bereizia da, beraz irakurri bizilagunaren egoera eta aurrizki-kontagailuak, eta gero alderatu iragartzeko asmoa zenuenarekin.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Established egoera eta zero aurrizki jasota politika edo iragarpen arazoa da, ez tunelarena. Errepikatu egiaztapen osoa bigarren tunelarekin; lehen tunel batek funtzionatzen duela esaten dizu helbideak sinesgarriak direla, ez bigarren tunela konfiguratu denik.

Jarraitu bideratutako pakete bat, eta gero gelditu

Saioak aurrizkiak garraiatzen dituenean, probatu bidea bi noranzkoetan atetik: iturburuko helbidea, hurrengo jauzia, eta trafikoa baimentzen duen segurtasun-politika. BGP saioa altxatuta egon daiteke zure aplikazioak behar duen aurrizki jakina iragazita, laburbilduta edo interfaze okerrean seinalatuta dagoen bitartean.

Reachability Analyzer AWS aldeko tresna da: iturburu bat, helmuga bat eta bide bat hartzen ditu, eta konfigurazio onartu batean zein osagaik blokeatu zuen jakinarazten du. Erabili VPCtik zure bezeroarentzako atearen helbidera arteko bidea probatzeko, ez aplikazio-ostalari batetik. Konfigurazioa aztertzen du eta ez du paketerik bidaltzen lokaleko suebaki batetik, beraz edukatu haren epaia zure interfaze-kontagailu eta pakete-harrapaketen aldetik bereizita.

Erregistratu kanpoko parea, barruko /30a eta iragarritako aurrizkiak tunel bakoitzeko taula bakarrean. Taula horrek egiten du hurrengo aldaketa berrikusgarri.