AWS VPN:n paikallinen ja etäinen CIDR: kumpi puoli on kumpi?

Avaat Site-to-Site VPN -asetukset, näet kaksi CIDR-kenttää, jotka on nimetty paikalliseksi ja etäiseksi, ja kurotat kohti osoitetta, jota pidät paikallisena: VPC:tä. Se on päinvastoin kuin API tarkoittaa. Yhteysasetuksissa LocalIpv4NetworkCidr nimeää asiakasportin puolen ja RemoteIpv4NetworkCidr AWS:n puolen, koska yhteys rakennetaan asiakasportista. Konsoli ei koskaan sano tätä ääneen, eikä mikään hylkää uskottavalta näyttävää vaihtoa.

Aloita API-kutsusta, älä konsolin tunnisteesta

Lue yhteysasetusten viite kerran kokonaan ja huomaa, että jokainen asetus on kirjoitettu asiakasportin näkökulmasta. Se ei ole nimeämisen sattuma. Tunneli kuvataan sellaisena kuin se näyttää laitteelle, joka lopettaa sen sinun puolellasi, joten paikallinen tarkoittaa porttisi takana olevaa verkkoa ja etäinen AWS:n portin takana olevaa verkkoa. Sekä IPv4- että IPv6-kentät noudattavat samaa sääntöä.

Kirjoita kaksi tunnistetta muistilapulle ennen kuin kirjoitat mitään: asiakkaan puoli, AWS:n puoli. Kohdista sitten osoitteesi niihin.

Laskettu esimerkki roolit kiinnitettyinä

Oletetaan, että paikallinen etuliite on 10.20.0.0/16 ja VPC:n etuliite on 10.60.0.0/16. Asetukset luetaan täsmälleen niin kuin roolit vihjaavat, paikallinen alue paikallisessa kentässä:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Anna nyt sama pari sille, joka määrittää vastapään laitteen, ja katso ansojen laukeavan. Monissa palomuureissa paikallinen tarkoittaa käyttöliittymää, jossa tunneli päättyy, ja etäinen tarkoittaa kauempaa päätä, mikä on AWS:n puolelle käänteinen kuvaus. Molemmat voivat olla oikeassa ja silti syntyy tunneli, joka ei koskaan valmistu, koska kaksi sanastoa kuvaavat eri päätepisteitä.

Toista harjoitus paperilla vastapään terminologialla, molemmat CIDR:t ja molemmat tunnisteet, ennen kuin mitään laitetta kosketaan.

Oletusarvot eivät ole suunnittelua

Sama viite luettelee 0.0.0.0/0 oletusarvoksi molemmille IPv4-kentille, ja vastaavat arvot IPv6:lle. Näiden arvojen näkeminen olemassa olevassa yhteydessä kertoo, että kenttää ei koskaan kavennettu, ei sitä, että internet-yhteys on määritetty. Reittien jakelu, aliverkon reititystaulu ja turvakontrollit päättävät edelleen, mikä liikenne voi todella kulkea; CIDR-arvot vain kuvaavat, mitkä alueet tunneli on valmis valitsemaan.

Kapeamman arvon korvaaminen oletusarvolla ei siis ole yhteensopivuustemppu, jota voi käyttää, kun tunneli käyttäytyy väärin. Se levenee valitsinta ja jättää kaikki muut kerrokset täsmälleen sellaisiksi kuin ne olivat.

Vastapään laite käyttää toista näkökulmaa

Kun AWS:n puoli on selvä, vastapään kokoonpano on se, missä suurin osa jäljellä olevasta sekaannuksesta asuu. Laite, joka kysyy paikallista verkkoa ja etäistä verkkoa, kuvaa oman käyttöliittymänsä paikalliseksi, joten VPC-alueesi menee sen etäiseen kenttään ja paikallinen alueesi sen paikalliseen kenttään. Jos se sen sijaan kysyy liikenteen valitsimia pareittain, kirjoitat molemmat suunnat selkeästi, ja tunnisteet merkitsevät vähemmän kuin paritus.

Lue laitteen kenttäohjetta, älä sen kenttien nimiä. Valmistajat käyttävät samoja kahta sanaa kolmeen eri käsitteeseen.

Tarkista sitten tunnelin tila molemmille vaiheille, sillä sopimaton valitsin näkyy yleensä toisen vaiheen epäonnistumisena, kun taas ensimmäinen vaihe pysyy rauhallisesti pystyssä.

Muuta asetuksia kuin muutosta, ei kuin dokumentaatiota

Yhteysasetusten muokkaaminen käynnissä olevassa VPN:ssä voi keskeyttää palvelun, joten käsittele sitä huoltotoimenpiteenä, jossa on ikkuna, palautusarvo ja merkintä siitä, keitä se koskee. Tallenna ensin nykyiset asetukset, mukaan lukien molemmat CIDR-kentät ja tunneliasetukset, jotta palautus on liittäminen eikä uudelleenrakennus.

Tarkista muutoksen jälkeen AWS:n puolelta ja vastapäästä: lähde kustakin alueesta saavuttaa kohteen toisessa, molempiin suuntiin. Yksi ping yhdeltä puolelta todistaa yhden valitsimen.

Päivitä sitten yhteyden dokumentaatio roolit kirjoitettuina auki, jotta seuraavan ei tarvitse löytää uudelleen, että paikallinen tarkoittaa sinun puoltasi.