Varias LAN nun só túnel VPN de AWS: que significa o límite de SA
AWS permite un par de IPsec SA por túnel, e iso non é un límite dunha soa subrede. Separe primeiro o alcance de protección do encaminamento e do acceso.
Engadir unha segunda LAN de sucursal a unha VPN de sitio a sitio de AWS non require unha segunda asociación IPsec independente dentro dese túnel. O límite co que a xente tropeza é real, pero máis estreito do que soa: AWS documenta un par único de IPsec SA por túnel, un entrante e outro saínte, e os dous túneles dunha conexión reciben cada un o seu propio par. Iso é unha propiedade do servizo, non unha regra de que IPsec protexe unha subrede á vez. A distinción importa sobre todo cando unha pasarela de cliente baseada en políticas converte cada entrada de política na súa propia asociación.
Comece pola conexión, non pola lista de LAN
Abra a conexión na consola e fixe en como se encamiña. Unha conexión estática leva os prefixos remotos que vostede declarou. Unha conexión BGP apréndeos da pasarela de cliente.
En calquera caso, o túnel baséase en rutas. O que entra nel decídeno os selectores que negocia o seu dispositivo, non o número de subredes que poida escribir nun formulario.
Vixíe o que negocia a pasarela de cliente
Un dispositivo baseado en políticas pode converter cada entrada de política na súa propia SA. Dúas LAN significan dúas entradas, o que significa dúas SA, e aí é onde o límite por túnel comeza a importar. Requisitos da pasarela de cliente adverten exactamente deste comportamento e suxiren regras consolidadas neses dispositivos. Revise os selectores negociados en lugar do reconto de ACL no equipo.
O dispositivo debe configurarse para presentar ambos os prefixos baixo unha única política, ou o extremo remoto simplemente non poderá soster o resultado.
Tres inventarios, mantidos á parte
Mesture estas tres listas e cada cambio convértese en conxectura. Mantéñaas como columnas separadas e encha cada unha para a súa propia rede.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Só a columna central está limitada polo límite de SA. A primeira columna é un feito de negocio, e a terceira é o que fai funcionar unha aplicación. Lea os selectores aceptados no dispositivo en lugar de inferir a cobertura a partir do número de liñas de ACL que escribiu.
Consolide sen ampliar o permiso
Unha ruta resumida é a forma obvia de obter unha entrada de política, e tamén é como un conxunto protexido medra en silencio. Un /20 que cobre ambas as /24 tamén cobre enderezos que ningunha das dúas sucursais usa, e o túnel transportaraos de boa gana. Se debe resumir, combineo con filtrado no lado receptor para que o espazo extra se rexeite en lugar de simplemente non anunciarse. Un paquete rexeitado é evidencia. Un enderezo non anunciado só é unha ausencia de evidencia.
Consolidar a política de protección é un cambio no que se pode cifrar. Non é unha concesión de acceso e non debe tratarse como tal.
Probe ambas as LAN e despois conserve ambos os túneles
Tras un cambio coordinado, inspeccione o alcance de protección activo e despois execute unha aplicación real desde cada LAN. Que unha subrede funcione non demostra nada sobre a cobertura de selectores da segunda, e moito menos sobre a súa ruta de resposta.
Conserve ambos os túneles no deseño. Consolidar a política non é permiso para descartar redundancia, e un só túnel que leve cada LAN de sucursal converte a próxima xanela de mantemento nunha interrupción.
Escriba os selectores negociados, os dous prefixos e os propietarios de rutas no mesmo rexistro de cambios. Cando chegue unha terceira LAN, ese rexistro diralle se está engadindo un selector ou comezando de novo.