AWS Site-to-Site VPN: બહાર, અંદર અને LAN પ્રીફિક્સ

AWS Site-to-Site VPN ની મોટાભાગની ભૂલો સરનામાંની ભૂલો છે, અને કોઈ પણ પેકેટ ખસે તે પહેલાં થાય છે. ટ્યુનલના બહારના સરનામાં IPsec પીઅર સુધી પહોંચે છે, અંદરના સરનામાં તેમની વચ્ચેની રાઉટિંગ કડી બનાવે છે, અને સુરક્ષિત પ્રીફિક્સ એ તે કડી જેના માટે છે. એક ભૂમિકા બીજીમાં કોપી કરો અને ટ્યુનલ ઉપર આવે છે જ્યારે કંઈ રાઉટ થતું નથી. BGP કસ્ટમર ગેટવે પર હું વાપરું છું તે વાંચો-ચકાસો-રૂપરેખાંકિત કરો ક્રમ આ છે, અને મૂલ્યો યાદશક્તિમાંથી નહીં, ડાઉનલોડ કરેલા ઉપકરણ રૂપરેખાંકનમાંથી લીધેલા છે.

ત્રણ સરનામાં ભૂમિકાઓ, એક ટ્યુનલ

બહારના સરનામાં જાહેર છે અને IPsec પીઅરના છે: AWS બાજુ પર દરેક ટ્યુનલ માટે એક, અને તમારી બાજુ પર કસ્ટમર ગેટવેની પહોંચી શકાય તેવી ઓળખ, તમારી પાસે જે NAT ગોઠવણી હોય તે મુજબ સમાયોજિત. અંદરના સરનામાં ખાનગી છે અને તાર્કિક કડીના છે, જેને AWS 169.254.0.0/16 માંથી લીધેલા /30 તરીકે દસ્તાવેજીકૃત કરે છે. સુરક્ષિત પ્રીફિક્સ એ VPC, સ્થાનિક કે ટ્રાન્ઝિટ નેટવર્ક છે જે તમે તે કડી ઉપર રાઉટ અને જાહેર કરો છો.

ટ્યુનલ ઇન્ટરફેસના સરનામા તરીકે LAN પ્રીફિક્સ સોંપવું એ આ ભૂલનું ક્લાસિક સ્વરૂપ છે. ઇન્ટરફેસ રૂપરેખાંકિત દેખાય છે, LAN જાહેર થતું નથી, અને સામેની બાજુ પાસે તેના માટે કોઈ રૂટ નથી. ટ્યુનલ પોતાનું અંદરનું ping પણ પસાર કરી શકે છે જ્યારે દરેક એપ્લિકેશન નામ સમયસીમા વટાવે છે. ટ્યુનલ વિકલ્પ સંદર્ભ અંદરના CIDR ની મર્યાદાઓ સૂચવે છે, જેમાં તે કઈ સરનામા શ્રેણીમાંથી આવવું જોઈએ તેનો પણ સમાવેશ થાય છે.

મૂલ્યો ડાઉનલોડ કરેલા રૂપરેખાંકનમાંથી વાંચો

કનેક્શનમાંથી તમારા ચોક્કસ ઉપકરણ મોડેલ માટેનું રૂપરેખાંકન ડાઉનલોડ કરો, પછી તેના સરનામા કોષ્ટકને સત્યનો સ્રોત ગણો. કન્સોલ દરેક ટ્યુનલ માટે સમાન મૂલ્યો બતાવે છે: બહારનું IP, અંદરનું CIDR, અને AWS બાજુ પર BGP પીઅર સરનામું. બે ટ્યુનલ અલગ ઑબ્જેક્ટ છે, અલગ બહારના એન્ડપોઇન્ટ અને અલગ અંદરના /30 સાથે, જોકે બંને એ જ સુરક્ષિત નેટવર્ક વહન કરે છે.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

જો ડાઉનલોડ કરેલી ફાઇલ અને જીવંત કન્સોલ મેળ ન ખાય, તો ફાઇલ જૂની છે. સરનામાં જાતે સંપાદિત કરવાને બદલે ફરી ડાઉનલોડ કરો, કારણ કે અંદરની જોડી અને પીઅરના રૂપરેખાંકિત પડોશી વચ્ચેની અસંગતિ શાંત BGP નિષ્ફળતા છે.

યોગ્ય સરનામું મૂકીને કડી બનાવો

Linux ગેટવે પર ટ્યુનલ VTI અથવા XFRM ઇન્ટરફેસ છે, અને અંદરનું /30 તે ઇન્ટરફેસ પર જાય છે. બે ટ્યુનલ એટલે બે ઇન્ટરફેસ અને બે BGP પડોશી, દરેક AWS એન્ડપોઇન્ટ માટે એક. AWS ડાઉનલોડ કરેલા ઉપકરણ રૂપરેખાંકનમાં જે રીત છાપે છે તે વર્ચ્યુઅલ ખાનગી ગેટવેને દરેક અંદરના /30 ના પ્રથમ સરનામા પર અને તમારા કસ્ટમર ગેટવેને બીજા પર મૂકે છે, તેથી તમે ઊંચું સરનામું લો છો અને નીચા સાથે પીઅર કરો છો. અહીં કંઈને LAN સરનામાની જરૂર નથી.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

જો તમારા ઉપકરણ મોડેલની ફાઇલ વિરુદ્ધ જોડી છાપે, તો તેના આંકડા વાપરો અને નિયમ રાખો: ઇન્ટરફેસ પરનું સરનામું તમારું છે, પીઅર સરનામું AWS નું છે. આ ઊલટું કરવાથી એવું ટ્યુનલ બને છે જે ક્યારેય Established સુધી પહોંચતું નથી, કારણ કે તમે રૂપરેખાંકિત કરેલો પડોશી એ સરનામું છે જે તમારા પોતાના ઇન્ટરફેસ પાસે પહેલેથી છે.

mark અને VTI કી IKE ડિમન ચાઇલ્ડ SA ને ઇન્ટરફેસ સાથે બાંધવા માટે જે વાપરે છે તેની સાથે સુસંગત રાખો, નહીં તો ટ્રાફિક ટ્યુનલ પર આવે છે પણ ઉતરવા માટે ઇન્ટરફેસ હોતું નથી. બીજી સાઇટ પરથી આંકડો કોપી કરવાને બદલે પથ અને IKE ડિમનની પોતાની સેટિંગ્સ સામે MTU ચકાસો.

રૂટ ચકાસતા પહેલાં BGP ચકાસો

IPsec ઉપર આવવું સાબિત કરે છે કે પીઅર સુરક્ષા સંગઠન પર સહમત છે, બીજું કંઈ નહીં. BGP સત્ર અંદરની કડી ઉપર અલગ વાટાઘાટ છે, તેથી પડોશીની સ્થિતિ અને પ્રીફિક્સ કાઉન્ટર વાંચો, પછી તમે જે જાહેર કરવા માંગતા હતા તેની સાથે સરખાવો.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Established સ્થિતિ અને શૂન્ય પ્રીફિક્સ મળ્યા એ નીતિ કે જાહેરાતની સમસ્યા છે, ટ્યુનલની નહીં. બીજા ટ્યુનલ પર આખી ચકાસણી પુનરાવર્તિત કરો; કામ કરતું પ્રથમ ટ્યુનલ કહે છે કે સરનામાં વિશ્વસનીય છે, એ નહીં કે બીજું ટ્યુનલ બિલકુલ રૂપરેખાંકિત થયું છે.

રાઉટ થયેલા પેકેટને અનુસરો, પછી અટકો

સત્ર પ્રીફિક્સ વહન કરે ત્યારે, ગેટવેથી બંને દિશામાં રૂટ ચકાસો: સ્રોત સરનામું, આગળનો હોપ, અને ટ્રાફિકની પરવાનગી આપતી સુરક્ષા નીતિ. BGP સત્ર ઉપર હોઈ શકે છે જ્યારે તમારી એપ્લિકેશનને જોઈતું ચોક્કસ પ્રીફિક્સ ફિલ્ટર થયેલું, સારાંશી કરેલું કે ખોટા ઇન્ટરફેસ તરફ નિર્દેશિત હોય.

Reachability Analyzer એ AWS બાજુનું સાધન છે જે સ્રોત, ગંતવ્ય અને પથ લે છે, અને સમર્થિત રૂપરેખાંકનમાં કયા ઘટકે તેને અવરોધ્યું તે જણાવે છે. તેને VPC થી તમારા કસ્ટમર ગેટવે સરનામા સુધીનો પથ ચકાસવા વાપરો, એપ્લિકેશન હોસ્ટથી નહીં. તે રૂપરેખાંકનનું વિશ્લેષણ કરે છે અને સ્થાનિક ફાયરવોલમાંથી પેકેટ મોકલતું નથી, તેથી તેનો નિર્ણય તમારા પોતાના ઇન્ટરફેસ કાઉન્ટર અને પેકેટ કૅપ્ચરથી અલગ રાખો.

દરેક ટ્યુનલ માટે બહારની જોડી, અંદરનું /30 અને જાહેર કરેલા પ્રીફિક્સ એક કોષ્ટકમાં નોંધો. એ કોષ્ટક જ આગળનો ફેરફાર સમીક્ષાયોગ્ય બનાવે છે.