Hainbat LAN AWS VPN tunel bakarrean: zer esan nahi du SA mugak
AWSek IPsec SA pare bat baimendu du tunel bakoitzeko, eta hori ez da azpisare bakarreko muga. Bereizi lehenengo babes-eremua bideratze eta sarbideetatik.
AWS Site-to-Site VPN batera bigarren adar LAN bat gehitzeak ez du tunel horren barruan IPsec elkarketaren bigarren independente bat behar. Jendeak estropezu egiten duen muga erreala da, baina dirudiena baino estuagoa: AWSek dokumentatzen du tunel bakoitzeko IPsec SA pare bakarra, bat sarrera eta bat irteera, eta konexio bateko bi tunelek bakoitzak bere pare propioa jasotzen du. Zerbitzuaren propietate bat da, ez IPsec-ek azpisare bat aldi berean babesten duen araua. Bereizketa garrantzitsuena da politiketan oinarritutako bezeroaren atebideak politika-sarrera bakoitza bere elkarketa propio bihurtzen duenean.
Hasi konexioarekin, ez LAN zerrendarekin
Ireki konexioa kontsolan eta begiratu nola bideratzen den. Konexio estatikoak deklaratu dituzun urruneko aurrizkiak daramatza. BGP konexioak bezeroaren atebidetik ikasten ditu.
Edozein modutan, tunela bideetan oinarritzen da. Barrura sartzen dena zure gailuak negoziatzen dituen hautatzaileek erabakitzen dute, ez inprimaki batean idatz ditzakezun azpisareen kopuruak.
Begiratu zer negoziatzen duen bezeroaren atebideak
Politiketan oinarritutako gailu batek politika-sarrera bakoitza bere SA propioa bihur dezake. Bi LANek bi sarrera esan nahi dute, hau da, bi SA, eta hemen hasten da tunel bakoitzeko muga garrantzitsua izaten. Bezeroaren atebidearen baldintzak jokabide horretaz zehazki ohartarazten dute eta gailu horietan arau bateratuak proposatzen dituzte. Egiaztatu negoziatutako hautatzaileak, ez gailuan dauden ACL kopurua.
Gailua bi aurrizkiak politika bakar baten pean aurkezteko konfiguratu behar da, bestela urruneko muturrak ez baitu emaitza eutsiko.
Hiru inbentario, bereizita
Nahastu hiru zerrenda hauek eta aldaketa oro susmo bihurtzen da. Eutsi zutabe bereizi gisa eta bete bakoitza zure sarearentzat.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Erdiko zutabea soilik dago SA mugak mugatuta. Lehen zutabea negozio-egitate bat da, eta hirugarrena aplikazio bat funtzionarazten duena. Irakurri gailuan onartutako hautatzaileak, idatzi dituzun ACL lerroen kopurutik estaldura ondorioztatu beharrean.
Kontsolidatu baimena zabaldu gabe
Bide laburbildua politika-sarrera bakarra lortzeko modu begi-bistakoa da, eta babes-multzo bat isilean hazten den modua ere bada. Biak /24 estaltzen dituen /20 batek adar batek ere erabiltzen ez dituen helbideak ere estaltzen ditu, eta tunelek gustura eramango ditu. Laburbildu behar baduzu, parekatu harrera aldeko iragazketarekin, espazio gehigarria baztertua izan dadin, besterik gabe iragarri gabe egon beharrean. Baztertutako paketea froga da. Iragarri gabeko helbidea frogen absentzia besterik ez da.
Babes-politika kontsolidatzea zer enkripta daitekeen aldatzea da. Ez da sarbidea ematea eta ez litzateke halakotzat hartu behar.
Probatu bi LANak eta gero mantendu bi tunelak
Aldaketa koordinatu baten ondoren, aztertu babes-eremu aktiboa eta gero exekutatu benetako aplikazio bat LAN bakoitzetik. Azpisare batek funtzionatzeak ez du ezer frogatzen bigarrenaren hautatzaile-estaldurari buruz, eta are gutxiago haren erantzun-bideari buruz.
Mantendu bi tunelak diseinuan. Politika kontsolidatzea ez da erredundantzia baztertzeko baimena, eta adar LAN guztiak daramatzan tunel bakarrak hurrengo mantentze-leihoa etena bihurtzen du.
Idatzi negoziatutako hautatzaileak, bi aurrizkiak eta bideen jabeak aldaketa-erregistro berean. Hirugarren LAN bat iristean, erregistro horrek esango dizu hautatzaile bat gehitzen ari zaren edo berritik hasten ari zaren.