چند LAN روی یک تونل AWS VPN: محدودیت SA چه معنایی دارد
AWS یک جفت IPsec SA در هر تونل را مجاز می‌داند، و این محدودیت یک زیرشبکه نیست. نخست دامنه حفاظت را از مسیریابی و دسترسی جدا کنید.
افزودن یک LAN شعبه دوم به AWS Site-to-Site VPN نیازی به یک انجمن IPsec مستقل دوم در داخل آن تونل ندارد. محدودیتی که مردم روی آن می‌لغزند واقعی است، اما باریک‌تر از آنچه به نظر می‌رسد: AWS مستند می‌کند یک جفت IPsec SA منحصربه‌فرد در هر تونل، یکی ورودی و یکی خروجی، و دو تونل یک اتصال هرکدام جفت خود را می‌گیرند. این ویژگی سرویس است، نه قاعده‌ای که IPsec در هر زمان یک زیرشبکه را محافظت کند. این تمایز بیشترین اهمیت را دارد وقتی دروازه مشتری مبتنی بر خط‌مشی هر ورودی خط‌مشی را به انجمن خودش تبدیل می‌کند.
با اتصال شروع کنید، نه با فهرست LAN
اتصال را در کنسول باز کنید و توجه کنید که چگونه مسیریابی می‌شود. اتصال ایستا پیشوندهای راه دوری را که اعلام کرده‌اید حمل می‌کند. اتصال BGP آنها را از دروازه مشتری یاد می‌گیرد.
در هر حالت، تونل مبتنی بر مسیر است. آنچه داخل آن می‌رود را انتخابگرهایی تعیین می‌کنند که دستگاه شما مذاکره می‌کند، نه تعداد زیرشبکه‌هایی که می‌توانید در یک فرم تایپ کنید.
مراقب باشید دروازه مشتری چه چیزی را مذاکره می‌کند
دستگاه مبتنی بر خط‌مشی می‌تواند هر ورودی خط‌مشی را به SA خودش تبدیل کند. دو LAN یعنی دو ورودی، یعنی دو SA، و اینجاست که محدودیت هر تونل اهمیت پیدا می‌کند. الزامات دروازه مشتری دقیقاً از همین رفتار هشدار می‌دهند و قواعد یکپارچه را روی آن دستگاه‌ها پیشنهاد می‌کنند. انتخابگرهای مذاکره‌شده را بررسی کنید، نه تعداد ACL روی دستگاه را.
دستگاه باید طوری پیکربندی شود که هر دو پیشوند را زیر یک خط‌مشی ارائه کند، وگرنه طرف دور به‌سادگی نمی‌تواند نتیجه را نگه دارد.
سه فهرست موجودی، جدا نگه‌داشته‌شده
این سه فهرست را قاطی کنید و هر تغییری به حدس تبدیل می‌شود. آنها را ستون‌های جدا نگه دارید و هرکدام را برای شبکه خودتان پر کنید.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
فقط ستون میانی با محدودیت SA محدود می‌شود. ستون اول یک واقعیت تجاری است، و ستون سوم چیزی است که یک برنامه را کار می‌اندازد. انتخابگرهای پذیرفته‌شده روی دستگاه را بخوانید، به‌جای اینکه پوشش را از تعداد خطوط ACL که نوشته‌اید استنتاج کنید.
یکپارچه کنید بدون گسترش مجوز
مسیر خلاصه راه واضح برای دریافت یک ورودی خط‌مشی است، و همچنین راهی است که یک مجموعه محافظت‌شده بی‌صدا رشد می‌کند. یک /20 که هر دو /24 را پوشش می‌دهد، آدرس‌هایی را هم پوشش می‌دهد که هیچ‌یک از دو شعبه استفاده نمی‌کند، و تونل با کمال میل آنها را حمل خواهد کرد. اگر باید خلاصه کنید، آن را با فیلترکردن در سمت گیرنده جفت کنید تا فضای اضافی رد شود نه اینکه صرفاً اعلام نشود. بسته ردشده شاهد است. آدرس اعلام‌نشده فقط نبود شاهد است.
یکپارچه‌کردن خط‌مشی حفاظت تغییری در آنچه می‌تواند رمزگذاری شود است. این اعطای دسترسی نیست و نباید چنین تلقی شود.
هر دو LAN را آزمایش کنید، سپس هر دو تونل را نگه دارید
پس از یک تغییر هماهنگ، دامنه حفاظت فعال را بررسی کنید و سپس یک برنامه واقعی را از هر LAN اجرا کنید. کارکردن یک زیرشبکه هیچ چیزی را درباره پوشش انتخابگرهای دومی اثبات نمی‌کند، و حتی کمتر درباره مسیر پاسخ آن.
هر دو تونل را در طراحی نگه دارید. یکپارچه‌کردن خط‌مشی اجازه دورانداختن افزونگی نیست، و یک تونل واحد که هر LAN شعبه را حمل می‌کند پنجره نگهداری بعدی را به قطعی تبدیل می‌کند.
انتخابگرهای مذاکره‌شده، دو پیشوند و مالکان مسیر را در همان سابقه تغییر بنویسید. وقتی LAN سومی می‌رسد، آن سابقه به شما می‌گوید که آیا انتخابگری اضافه می‌کنید یا از نو شروع می‌کنید.