CIDR محلی و راه‌دور در AWS VPN: کدام سمت کدام است؟

گزینه‌های Site-to-Site VPN را باز می‌کنید، دو کادر CIDR با برچسب محلی و راه‌دور می‌بینید و به سراغ نشانی‌ای می‌روید که آن را محلی می‌دانید: VPC. این برعکس چیزی است که API منظور دارد. در گزینه‌های اتصال، LocalIpv4NetworkCidr سمت دروازه مشتری را نام می‌برد و RemoteIpv4NetworkCidr سمت AWS را، چون اتصال از دروازه مشتری ساخته می‌شود. کنسول هرگز این را بلند نمی‌گوید و هیچ چیز یک جابه‌جایی موجه‌نما را رد نمی‌کند.

از فراخوان API شروع کنید، نه از برچسب کنسول

مرجع گزینه‌های اتصال را یک بار کامل بخوانید و ببینید هر گزینه از دید دروازه مشتری نوشته شده است. این تصادف نام‌گذاری نیست. تونل همان‌گونه توصیف می‌شود که دستگاه پایانه‌دهنده در سمت شما می‌بیند، پس محلی یعنی شبکه پشت دروازه شما و راه‌دور یعنی شبکه پشت دروازه AWS. هر دو فیلد IPv4 و IPv6 از همین قاعده پیروی می‌کنند.

پیش از تایپ هر چیزی، دو برچسب را روی یک یادداشت چسبان بنویسید: سمت مشتری، سمت AWS. سپس نشانی‌هایتان را روی آن‌ها بنشانید.

نمونه‌ای کارشده با نقش‌های چسبیده

فرض کنید پیشوند محلی 10.20.0.0/16 و پیشوند VPC برابر 10.60.0.0/16 است. گزینه‌ها دقیقاً همان‌گونه خوانده می‌شوند که نقش‌ها می‌گویند، با محدوده محلی در فیلد محلی:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

حالا همان جفت را به کسی بدهید که دستگاه نظیر را پیکربندی می‌کند و ببینید تله چگونه فعال می‌شود. در بسیاری از دیوارهای آتش، محلی یعنی رابطی که تونل روی آن پایان می‌یابد و راه‌دور یعنی انتهای دور، که برای سمت AWS نقشه‌برداری معکوس است. هر دو نفر می‌توانند درست باشند و باز هم تونلی بسازند که هرگز کامل نمی‌شود، چون دو واژگان دو نقطه انتهایی متفاوت را توصیف می‌کنند.

تمرین را روی کاغذ با اصطلاحات نظیر تکرار کنید، با هر دو CIDR و هر دو برچسب، پیش از آنکه به هیچ دستگاهی دست بزنید.

مقادیر پیش‌فرض طراحی نیستند

همان مرجع 0.0.0.0/0 را پیش‌فرض هر دو فیلد IPv4 فهرست می‌کند، با مقادیر مشابه برای IPv6. دیدن این مقادیر در یک اتصال موجود می‌گوید فیلد هرگز باریک نشده است، نه اینکه خروجی اینترنت پیکربندی شده باشد. توزیع مسیر، جدول مسیر زیرشبکه و کنترل‌های امنیتی همچنان تعیین می‌کنند چه ترافیکی واقعاً می‌تواند عبور کند؛ مقادیر CIDR فقط توصیف می‌کنند تونل کدام محدوده‌ها را حاضر است انتخاب کند.

پس جایگزینی یک مقدار باریک‌تر با پیش‌فرض ترفند سازگاری نیست که هنگام بدرفتاری تونل به کار ببرید. انتخابگر را گسترده می‌کند و هر لایه دیگر را دقیقاً همان‌گونه که بود رها می‌کند.

دستگاه نظیر از دیدگاه دیگر استفاده می‌کند

وقتی سمت AWS روشن شد، پیکربندی نظیر جایی است که بیشتر سردرگمی باقی‌مانده در آن زندگی می‌کند. دستگاهی که شبکه محلی و شبکه راه‌دور می‌خواهد، رابط خودش را محلی توصیف می‌کند، پس محدوده VPC شما در فیلد راه‌دور آن می‌رود و محدوده محلی شما در فیلد محلی آن. اگر در عوض انتخابگرهای ترافیک را جفتی بخواهد، شما هر دو جهت را صریح می‌نویسید و برچسب‌ها کمتر از جفت‌شدن اهمیت دارند.

راهنمای فیلدهای دستگاه را بخوانید نه نام فیلدهایش را. سازندگان همان دو واژه را برای سه مفهوم مختلف به کار می‌برند.

سپس وضعیت تونل را برای هر دو فاز بررسی کنید، چون انتخابگر ناهمخوان معمولاً به‌صورت شکست فاز دوم ظاهر می‌شود در حالی که فاز اول آرام برقرار می‌ماند.

گزینه‌ها را مثل یک تغییر عوض کنید، نه مثل مستندات

ویرایش گزینه‌های اتصال روی VPN فعال می‌تواند سرویس را قطع کند، پس آن را اقدام نگهداری با پنجره، مقدار بازگشت و یادداشتی از افراد متأثر بدانید. نخست گزینه‌های کنونی را ثبت کنید، شامل هر دو فیلد CIDR و گزینه‌های تونل، تا بازگرداندن یک چسباندن باشد نه بازسازی.

پس از تغییر، از سمت AWS و از سمت نظیر بررسی کنید: منبعی در هر محدوده به مقصدی در محدوده دیگر برسد، در هر دو جهت. یک پینگ از یک سمت فقط یک انتخابگر را اثبات می‌کند.

سپس مستندات اتصال را با نقش‌های نوشته‌شده به‌روز کنید، تا نفر بعد مجبور نباشد دوباره کشف کند که محلی یعنی سمت شما.