כמה רשתות LAN במנהרת AWS VPN אחת: מה מגבלת ה-SA אומרת
AWS מאפשרת זוג IPsec SA אחד לכל מנהרה, וזו אינה מגבלה של תת-רשת אחת. הפרידו תחילה בין היקף ההגנה לניתוב ולגישה.
הוספת רשת LAN שנייה של סניף ל-AWS Site-to-Site VPN אינה מחייבת אסוציאציית IPsec עצמאית שנייה בתוך אותה מנהרה. המגבלה שאנשים נתקלים בה אמיתית, אך צרה יותר ממה שהיא נשמעת: AWS מתעדת זוג IPsec SA ייחודי אחד לכל מנהרה, אחד נכנס ואחד יוצא, ושתי המנהרות בחיבור אחת מקבלות כל אחת זוג משל עצמה. זהו מאפיין של השירות, לא כלל ש-IPsec מגן על תת-רשת אחת בכל פעם. ההבחנה חשובה ביותר כאשר שער לקוח מבוסס מדיניות הופך כל רשומת מדיניות לאסוציאציה נפרדת.
התחילו בחיבור, לא ברשימת רשתות ה-LAN
פתחו את החיבור בקונסולה ושימו לב כיצד הוא מנותב. חיבור סטטי נושא את הקידומות המרוחקות שהצהרתם עליהן. חיבור BGP לומד אותן משער הלקוח.
כך או כך, המנהרה מבוססת ניתוב. מה שנכנס לתוכה נקבע על ידי הסלקטורים שהמכשיר שלכם מנהל משא ומתן עליהם, לא לפי מספר תת-הרשתות שאפשר להקליד בטופס.
שימו לב למה ששער הלקוח מנהל משא ומתן עליו
מכשיר מבוסס מדיניות יכול להפוך כל רשומת מדיניות ל-SA משל עצמו. שתי רשתות LAN פירושן שתי רשומות, כלומר שני SA, ושם מתחילה מגבלת המנהרה להשפיע. דרישות שער הלקוח מזהירות בדיוק מפני התנהגות זו ומציעות כללים מאוחדים במכשירים הללו. בדקו את הסלקטורים שנדונו ולא את מספר ה-ACL במכשיר.
יש להגדיר את המכשיר להציג את שתי הקידומות תחת מדיניות אחת, אחרת הצד המרוחק פשוט לא יוכל להחזיק את התוצאה.
שלושה מלאים, נשמרים בנפרד
ערבבו את שלושת הרשימות הללו וכל שינוי הופך לניחוש. שמרו אותן כעמודות נפרדות ומלאו כל אחת עבור הרשת שלכם.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
רק העמודה האמצעית מוגבלת על ידי מגבלת ה-SA. העמודה הראשונה היא עובדה עסקית, והשלישית היא מה שמפעיל יישום. קראו את הסלקטורים שהתקבלו במכשיר במקום להסיק כיסוי ממספר שורות ה-ACL שכתבתם.
אחדו בלי להרחיב הרשאה
נתיב מסוכם הוא הדרך המובנת מאליה לקבל רשומת מדיניות אחת, וזו גם הדרך שבה סט מוגן גדל בשקט. /20 שמכסה את שתי ה-/24 מכסה גם כתובות שאף אחד מהסניפים אינו משתמש בהן, והמנהרה תישא אותן בשמחה. אם חייבים לסכם, שלבו זאת עם סינון בצד המקבל כך שהמרחב הנוסף יידחה ולא רק לא יוכרז. מנה שנדחתה היא ראיה. כתובת שלא הוכרזה היא רק היעדר ראיה.
איחוד מדיניות ההגנה הוא שינוי במה שמותר להצפין. הוא אינו מתן גישה ואין להתייחס אליו ככזה.
בדקו את שתי רשתות ה-LAN ואז שמרו על שתי המנהרות
לאחר שינוי מתואם, בדקו את היקף ההגנה הפעיל ואז הפעילו יישום אמיתי מכל רשת LAN. עובדה של תת-רשת אחת אינה מוכיחה דבר על כיסוי הסלקטורים של השנייה, ופחות מכך על נתיב התגובה שלה.
שמרו על שתי המנהרות בתכנון. איחוד מדיניות אינו הרשאה לוותר על יתירות, ומנהרה אחת שנושאת כל רשת LAN של סניף הופכת את חלון התחזוקה הבא להשבתה.
רשמו את הסלקטורים שנדונו, את שתי הקידומות ואת בעלי הנתיבים באותו רשומת שינוי. כשתגיע רשת LAN שלישית, הרשומה הזו תספר לכם אם אתם מוסיפים סלקטור או מתחילים מחדש.