CIDR local e remoto en AWS VPN: que lado é cal?

Abre as opcións de Site-to-Site VPN, ves dúas caixas CIDR etiquetadas como local e remoto, e botas man da dirección que consideras local: a VPC. Iso é o contrario do que significa a API. Nas opcións de conexión, LocalIpv4NetworkCidr nomea o lado da pasarela de cliente e RemoteIpv4NetworkCidr nomea o lado de AWS, porque a conexión constrúese desde a pasarela de cliente. A consola nunca o di en voz alta e nada rexeita un intercambio que parece plausible.

Comeza pola chamada á API, non pola etiqueta da consola

Le a referencia das opcións de conexión unha vez, de principio a fin, e fíxate en que cada opción está escrita desde o punto de vista da pasarela de cliente. Non é casualidade no nome. O túnel descríbese tal como o ve o dispositivo que o termina no teu lado, así que local significa a rede detrás da túa pasarela e remoto a rede detrás da pasarela de AWS. Tanto os campos IPv4 como os IPv6 seguen a mesma regra.

Escribe as dúas etiquetas nunha nota adhesiva antes de teclear nada: lado do cliente, lado de AWS. Despois asigna as túas direccións a elas.

Un exemplo traballado cos roles pegados

Supón que o prefixo local é 10.20.0.0/16 e o prefixo da VPC é 10.60.0.0/16. As opcións len exactamente como suxiren os roles, co rango local no campo local:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Agora entrega o mesmo par a quen configure o dispositivo par e observa como salta a trampa. En moitos cortalumes, local significa a interface na que termina o túnel e remoto o extremo afastado, que é o mapeo inverso para o lado de AWS. Ambos poden ter razón e aínda así producir un túnel que nunca se completa, porque os dous vocabularios describen extremos distintos.

Repite o exercicio en papel coa terminoloxía do par, con ambos CIDR e ambas etiquetas, antes de tocar ningún dispositivo.

Os valores por defecto non son un deseño

A mesma referencia lista 0.0.0.0/0 como valor por defecto para ambos os campos IPv4, con valores análogos para IPv6. Ver eses valores nunha conexión existente dinos que o campo nunca se estreitou, non que haxa unha saída a internet configurada. A distribución de rutas, a táboa de rutas da subrede e os controis de seguridade seguen decidindo que tráfico pode cruzar de verdade; os valores CIDR só describen que rangos está disposto a seleccionar o túnel.

Substituír un valor máis estreito polo valor por defecto non é, polo tanto, un truco de compatibilidade que poidas aplicar cando un túnel se comporta mal. Amplía o selector e deixa todas as demais capas exactamente como estaban.

O dispositivo par usa o outro punto de vista

Unha vez claro o lado de AWS, a configuración do par é onde vive a maior parte da confusión restante. Un dispositivo que pide unha rede local e unha rede remota describe a súa propia interface como local, así que o teu rango de VPC vai no seu campo remoto e o teu rango local vai no seu campo local. Se en cambio pide selectores de tráfico por parellas, estás escribindo ambas as direccións de forma explícita e as etiquetas importan menos que o emparellamento.

Le a axuda dos campos do dispositivo, non os nomes dos seus campos. Os fabricantes reutilizan as mesmas dúas palabras para tres conceptos distintos.

Despois comproba o estado do túnel en ambas as fases, xa que un selector que non coincide adoita aparecer como un fallo da segunda fase mentres a primeira segue tranquilamente establecida.

Cambia as opcións como un cambio, non como documentación

Editar as opcións de conexión nunha VPN en produción pode interromper o servizo, así que trátao como unha acción de mantemento cunha xanela, un valor de reversión e unha nota de a quen afecta. Captura primeiro as opcións actuais, incluídos ambos os campos CIDR e as opcións do túnel, para que reverter sexa pegar e non reconstruír.

Tras o cambio, verifica desde o lado de AWS e desde o par: unha orixe de cada rango alcanzando un destino do outro, en ambas as direccións. Un só ping desde un lado demostra un só selector.

Despois actualiza a documentación da conexión cos roles escritos, para que a seguinte persoa non teña que redescubrir que local significa o teu lado.