Useita LAN-verkkoja yhdessä AWS VPN -tunnelissa: mitä SA-raja tarkoittaa
AWS sallii yhden IPsec SA -parin tunnelia kohden, eikä se ole yhden aliverkon raja. Erota ensin suojausalue reitityksestä ja pääsystä.
Toisen haarakonttorin LAN-verkon lisääminen AWS Site-to-Site VPN:ään ei vaadi toista itsenäistä IPsec-yhdistystä kyseisen tunnelin sisällä. Raja, johon ihmiset kompastuvat, on todellinen mutta kapeampi kuin miltä se kuulostaa: AWS dokumentoi yhden ainutlaatuisen IPsec SA -parin tunnelia kohden, yhden saapuvan ja yhden lähtevän, ja yhden yhteyden kaksi tunnelia saavat kumpikin oman parinsa. Tämä on palvelun ominaisuus, ei sääntö siitä, että IPsec suojaa yhtä aliverkkoa kerrallaan. Ero on tärkein silloin, kun käytäntöperusteinen asiakasyhdyskäytävä muuttaa jokaisen käytäntökohdan omaksi yhdistyksekseen.
Aloita yhteydestä, älä LAN-luettelosta
Avaa yhteys konsolissa ja huomaa, miten se reititetään. Staattinen yhteys kuljettaa ilmoittamasi etäetuliitteet. BGP-yhteys oppii ne asiakasyhdyskäytävältä.
Kummin tahansa, tunneli on reittipohjainen. Mitä sen sisään menee, päättävät laitteesi neuvottelemat valitsimet, eivät lomakkeeseen kirjoitettavien aliverkkojen määrä.
Seuraa, mitä asiakasyhdyskäytävä neuvottelee
Käytäntöperusteinen laite voi muuttaa jokaisen käytäntökohdan omaksi SA:ksi. Kaksi LAN-verkkoa tarkoittaa kahta kohtaa, mikä tarkoittaa kahta SA:ta, ja tässä tunnelikohtainen raja alkaa merkitä. Asiakasyhdyskäytävän vaatimukset varoittavat juuri tästä käyttäytymisestä ja ehdottavat yhdistettyjä sääntöjä näille laitteille. Tarkista neuvotellut valitsimet laitteen ACL-määrän sijaan.
Laite on määritettävä esittämään molemmat etuliitteet yhden käytännön alla, muuten vastapää ei yksinkertaisesti voi pitää tulosta.
Kolme luetteloa, erillään pidettynä
Sekoita nämä kolme luetteloa, niin jokaisesta muutoksesta tulee arvailua. Pidä ne erillisinä sarakkeina ja täytä kukin omaa verkkoasi varten.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Vain keskimmäinen sarake on SA-rajan rajoittama. Ensimmäinen sarake on liiketoiminnallinen tosiasia, ja kolmas on se, mikä saa sovelluksen toimimaan. Lue laitteelta hyväksytyt valitsimet sen sijaan, että päättelet kattavuuden kirjoittamiesi ACL-rivien määrästä.
Yhdistä laajentamatta lupaa
Koosteroute on ilmeinen tapa saada yksi käytäntökohta, ja se on myös tapa, jolla suojattu joukko kasvaa hiljaa. /20, joka kattaa molemmat /24-verkot, kattaa myös osoitteet, joita kumpikaan haara ei käytä, ja tunneli kuljettaa ne mielellään. Jos on pakko tehdä kooste, yhdistä se vastaanottavan puolen suodatukseen, jotta ylimääräinen tila hylätään eikä vain jätetä ilmoittamatta. Hylätty paketti on todiste. Ilmoittamaton osoite on vain todisteen puuttuminen.
Suojauskäytännön yhdistäminen on muutos siihen, mitä saa salata. Se ei ole pääsyn myöntäminen, eikä sitä pidä sellaisena pitää.
Testaa molemmat LAN-verkot ja pidä sitten molemmat tunnelit
Koordinoidun muutoksen jälkeen tarkasta aktiivinen suojausalue ja aja sitten oikea sovellus kummastakin LAN-verkosta. Yhden aliverkon toimiminen ei todista mitään toisen valitsinkattavuudesta, ja sitä vähemmän sen vastausreitistä.
Pidä molemmat tunnelit suunnittelussa. Käytännön yhdistäminen ei ole lupa heittää redundanssia pois, ja yksi tunneli, joka kuljettaa jokaisen haarakonttorin LAN-verkon, tekee seuraavasta huoltoikkunasta katkoksen.
Kirjoita neuvotellut valitsimet, molemmat etuliitteet ja reittien omistajat samaan muutostietueeseen. Kun kolmas LAN-verkko saapuu, tietue kertoo, lisäätkö valitsinta vai aloitatko alusta.