Meardere LAN's op ien AWS VPN-tunnel: wat de SA-limyt betsjut
AWS lit ien IPsec-SA-pear per tunnel ta, en dat is gjin limyt fan ien subnet. Skiede earst it beskermingsgebiet fan routing en tagong.
In twadde filiaal-LAN tafoegje oan in AWS Site-to-Site VPN freget gjin twadde ûnôfhinklike IPsec-assosjaasje binnen dy tunnel. De limyt dêr't minsken oer stroffelje is echt, mar smeller as it klinkt: AWS dokumintearret ien unyk IPsec-SA-pear per tunnel, ien ynkommend en ien útgeand, en de twa tunnels yn ien ferbining krije elk har eigen pear. Dat is in eigenskip fan 'e tsjinst, gjin regel dat IPsec ien subnet tagelyk beskermet. It ûnderskied is it wichtichst as in beliedsbasearre klantpoarte elke beliedsitem yn syn eigen assosjaasje feroaret.
Begjin by de ferbining, net by de LAN-list
Iepenje de ferbining yn 'e konsole en let op hoe't dy rûte wurdt. In statyske ferbining draacht de ôfstânsfoarheaksels dy't jo oanjûn hawwe. In BGP-ferbining leart se fan 'e klantpoarte.
Hoe dan ek, de tunnel is rûtebassearre. Wat der yn giet, wurdt besletten troch de selektors dy't jo apparaat ûnderhannellet, net troch it oantal subnets dat jo yn in formulier type kinne.
Pas op wat de klantpoarte ûnderhannellet
In beliedsbasearre apparaat kin elke beliedsitem yn syn eigen SA feroarje. Twa LAN's betsjutte twa items, dat betsjut twa SA's, en dêr begjint de limyt per tunnel te tellen. De easken foar de klantpoarte warje krekt tsjin dit gedrach en stelle konsolidearre regels foar op dy apparaten. Kontrolearje de ûnderhannele selektors ynstee fan it oantal ACL's op 'e doaze.
It apparaat moat sa konfigurearre wêze dat it beide foarheaksels ûnder ien belied presintearret, oars kin de fiere kant it resultaat gewoan net hâlde.
Trije ynventarissen, apart hâlden
Mingje dizze trije listen en elke feroaring wurdt rieden. Hâld se as aparte kolommen en folje elk yn foar jo eigen netwurk.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Allinnich de middelste kolom wurdt beheind troch de SA-limyt. De earste kolom is in saaklik feit, en de tredde is wat in applikaasje wurkje lit. Lês de akseptearre selektors op it apparaat ynstee fan dekking ôf te lieden út it oantal ACL-regels dat jo skreaun hawwe.
Konsolidearje sûnder de tastimming te ferbreedzjen
In gearfette rûte is de foar de hân lizzende manier om ien beliedsitem te krijen, en it is ek hoe't in beskerme set stilwei groeit. In /20 dat beide /24's beslacht, beslacht ek adressen dy't gjin fan beide filialen brûkt, en de tunnel sil se graach drage. As jo gearfetsje moatte, keppelje it dan oan filterjen oan 'e ûntfangende kant sadat de ekstra romte wegere wurdt ynstee fan allinnich net oanjûn. In wegere pakket is bewiis. In net oanjûn adres is allinnich in ôfwêzichheid fan bewiis.
It konsolidearjen fan it beskermingsbelied is in feroaring yn wat fersifere wurde mei. It is gjin jefte fan tagong en moat net as sadanich behannele wurde.
Test beide LAN's en hâld dan beide tunnels
Nei in koördinearre feroaring, ynspektearje it aktive beskermingsgebiet en oefenje dan in echte applikaasje út elk LAN. Ien subnet dat wurket bewiist neat oer de selektordekking fan it twadde, en noch minder oer syn antwurdpaad.
Hâld beide tunnels yn it ûntwerp. Belied konsolidearje is gjin tastimming om oerstalligens fuort te smiten, en ien tunnel dy't elk filiaal-LAN draacht makket it folgjende ûnderhâldsfinster in steuring.
Skriuw de ûnderhannele selektors, de twa foarheaksels en de rûte-eigners yn itselde feroaringsrekord. As in tredde LAN komt, fertelt dat rekord jo oft jo in selektor tafoegje of op 'e nij begjinne.