AWS Site-to-Site VPN: seachtrach, inmheánach agus an réimír LAN

Is earráidí seoltaí an chuid is mó de na botúin ar AWS Site-to-Site VPN, agus déantar iad sula mbogann aon phaicéad. Sroicheann seoltaí seachtracha an tolláin na piaraí IPsec, cruthaíonn na seoltaí inmheánacha an nasc ródaithe eatarthu, agus is é atá sna réimíreanna cosanta ná an rud a bhfuil an nasc sin ann dó. Cóipeáil ról amháin isteach i ról eile agus éiríonn an tollán aníos fad a ndéantar aon rud a ródú. Seo an seicheamh léigh-seiceáil-cumraigh a úsáidim ar gheata custaiméara BGP, agus na luachanna tógtha ón gcumraíocht ghléis íoslódáilte seachas ón gcuimhne.

Trí ról seolta, tollán amháin

Tá na seoltaí seachtracha poiblí agus baineann siad leis na piaraí IPsec: ceann in aghaidh an tolláin ar thaobh AWS, agus féiniúlacht inrochtana an gheata chustaiméara ar do thaobhsa, coigeartaithe don socrú NAT atá agat i ndáiríre. Tá na seoltaí inmheánacha príobháideach agus baineann siad leis an nasc loighciúil, a dhoiciméadaíonn AWS mar /30 a tarraingíodh ó 169.254.0.0/16. Is iad na réimíreanna cosanta na líonraí VPC, áitiúla nó idirthurais a ródaíonn tú agus a fhógraíonn tú thar an nasc sin.

Is é an leagan clasaiceach den earráid seo réimír LAN a shannadh mar sheoladh ar chomhéadan an tolláin. Breathnaíonn an comhéadan cumraithe, ní fhógraítear an LAN, agus níl aon ród ag an taobh thall chuige. Féadann an tollán fiú a phing inmheánach féin a rith agus gach ainm feidhmchláir ag teacht chun deiridh. Liostaíonn tagairt roghanna an tolláin srianta an CIDR inmheánaigh, lena n-áirítear an raon seoltaí ar gá dó teacht as.

Léigh na luachanna ón gcumraíocht íoslódáilte

Íoslódáil an chumraíocht do do shamhail ghléis ar leith ón nasc, ansin caith lena tábla seoltaí mar fhoinse na fírinne. Taispeánann an consól na luachanna céanna in aghaidh an tolláin: IP seachtrach, CIDR inmheánach, agus seoladh an phiara BGP ar thaobh AWS. Is réada ar leith iad an dá thollán le críochphointí seachtracha ar leith agus /30 inmheánacha ar leith, cé go n-iompraíonn an dá cheann na líonraí cosanta céanna.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Mura n-aontaíonn an comhad íoslódáilte agus an consól bheo, tá an comhad as dáta. Íoslódáil arís in áit seoltaí a chur in eagar de láimh, mar is teip chiúin BGP é neamhréir idir an péire inmheánach agus comharsa chumraithe an phiara.

Tóg an nasc leis an seoladh ceart air

Ar gheata Linux is comhéadan VTI nó XFRM é an tollán, agus téann an /30 inmheánach ar an gcomhéadan sin. Ciallaíonn dhá thollán dhá chomhéadan agus dhá chomharsa BGP, ceann in aghaidh an chríochphointe AWS. Cuireann an ghnáthnós a phriontálann AWS sa chumraíocht ghléis íoslódáilte an geata príobháideach fíorúil ar an gcéad seoladh de gach /30 inmheánach agus do gheata custaiméara ar an dara ceann, mar sin tógann tú an seoladh is airde agus déanann tú piarú leis an gceann is ísle. Ní gá aon seoladh LAN anseo.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Má phriontálann comhad do shamhla gléis an péire droim ar ais, úsáid a uimhreacha agus coinnigh an riail: is leatsa an seoladh ar an gcomhéadan, is le AWS seoladh an phiara. Má dhéantar droim ar ais é, cruthaítear tollán nach sroicheann Established riamh, mar is é an chomharsa a chumraigh tú an seoladh atá ag do chomhéadan féin cheana.

Coinnigh an marc agus an eochair VTI ailínithe leis an rud a úsáideann an démon IKE chun SA linbh a cheangal leis an gcomhéadan, nó tagann trácht ar an tollán gan comhéadan le tuirlingt air. Seiceáil an MTU i gcoinne an chosáin agus i gcoinne shocruithe an démon IKE féin in áit uimhir a chóipeáil ó shuíomh eile.

Seiceáil BGP sula seiceálann tú róid

Cruthaíonn IPsec ag éirí go n-aontaíonn na piaraí ar chomhlachas slándála agus rud ar bith eile. Is idirbheartaíocht ar leith é seisiún BGP thar an nasc inmheánach, mar sin léigh staid na comharsan agus na cuntair réimíre, agus ansin iad a chur i gcomparáid leis an rud a bhí ar intinn agat a fhógairt.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Is fadhb bheartais nó fógraíochta é staid Established le nialas réimíre faighte, ní fadhb tolláin. Déan an tseiceáil iomlán arís ar an dara tollán; deir tollán amháin a oibríonn leat go bhfuil na seoltaí inchreidte, ní go raibh an dara tollán cumraithe ar chor ar bith.

Lean paicéad ródaithe, ansin stop

Nuair a iompraíonn an seisiún na réimíreanna, tástáil an ród sa dá threo ón ngeata: seoladh foinse, an chéad chéim eile, agus an beartas slándála a cheadaíonn an trácht. Is féidir seisiún BGP a bheith suas agus an réimír ar leith a theastaíonn ó d’fheidhmchlár scagtha, achoimrithe nó dírithe ar an gcomhéadan mícheart.

Is é Reachability Analyzer uirlis thaobh AWS a thógann foinse, ceann scríbe agus cosán, agus a thuairiscíonn cén chomhpháirt i gcumraíocht thacaithe a chuir bac air. Úsáid é chun an cosán ón VPC go seoladh do gheata chustaiméara a thástáil, ní ó óstach feidhmchláir. Déanann sé anailís ar chumraíocht agus ní sheolann sé paicéad trí bhalla dóiteáin áitiúil, mar sin coinnigh a bhreithiúnas ar leith ó do chuntair chomhéadain agus do ghabhálacha paicéad féin.

Taifead an péire seachtrach, an /30 inmheánach agus na réimíreanna fógartha do gach tollán i dtábla amháin. Is é an tábla sin a dhéanann an chéad athrú eile inathbhreithnithe.