एक AWS VPN टनल पर कई LAN: SA सीमा का क्या मतलब है
AWS प्रति टनल एक IPsec SA जोड़ी की अनुमति देता है, और यह एक-सबनेट सीमा नहीं है। पहले सुरक्षा दायरे को रूटिंग और एक्सेस से अलग करें।
AWS Site-to-Site VPN में दूसरा शाखा LAN जोड़ने के लिए उस टनल के भीतर दूसरा स्वतंत्र IPsec एसोसिएशन आवश्यक नहीं है। जिस सीमा पर लोग ठोकर खाते हैं वह वास्तविक है, पर सुनने से संकरी है: AWS दस्तावेज़ करता है प्रति टनल एक अनोखी IPsec SA जोड़ी, एक आवक और एक जावक, और एक कनेक्शन की दोनों टनलों को अपनी-अपनी जोड़ी मिलती है। यह सेवा का गुण है, यह नियम नहीं कि IPsec एक बार में एक सबनेट की रक्षा करता है। यह अंतर सबसे ज़्यादा तब मायने रखता है जब नीति-आधारित ग्राहक गेटवे हर नीति प्रविष्टि को अपना अलग एसोसिएशन बना देता है।
LAN सूची से नहीं, कनेक्शन से शुरू करें
कंसोल में कनेक्शन खोलें और देखें कि इसे कैसे रूट किया जाता है। स्थिर कनेक्शन आपके घोषित दूरस्थ प्रीफ़िक्स ले जाता है। BGP कनेक्शन उन्हें ग्राहक गेटवे से सीखता है।
किसी भी तरह, टनल रूट-आधारित है। उसमें क्या जाता है यह आपके डिवाइस द्वारा बातचीत किए गए सिलेक्टर तय करते हैं, फ़ॉर्म में लिखे जा सकने वाले सबनेट की संख्या नहीं।
देखें कि ग्राहक गेटवे क्या बातचीत करता है
नीति-आधारित डिवाइस हर नीति प्रविष्टि को अपना अलग SA बना सकता है। दो LAN का मतलब दो प्रविष्टियाँ, यानी दो SA, और यहीं प्रति-टनल सीमा मायने रखने लगती है। ग्राहक गेटवे आवश्यकताएँ ठीक इसी व्यवहार के बारे में चेतावनी देती हैं और उन डिवाइसों पर समेकित नियम सुझाती हैं। बॉक्स पर ACL गिनती के बजाय बातचीत किए गए सिलेक्टर जाँचें।
डिवाइस को एक ही नीति के अंतर्गत दोनों प्रीफ़िक्स प्रस्तुत करने के लिए कॉन्फ़िगर करना होगा, अन्यथा दूर का सिरा परिणाम नहीं थाम सकेगा।
तीन सूचियाँ, अलग रखी गईं
इन तीन सूचियों को मिलाएँ और हर बदलाव अनुमान बन जाता है। उन्हें अलग कॉलम के रूप में रखें और अपने नेटवर्क के लिए हर एक भरें।
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
केवल बीच वाला कॉलम SA सीमा से बँधा है। पहला कॉलम कारोबारी तथ्य है, और तीसरा कॉलम वह है जो एप्लिकेशन को काम कराता है। आपने जितनी ACL पंक्तियाँ लिखीं उनसे कवरेज का अनुमान लगाने के बजाय डिवाइस पर स्वीकृत सिलेक्टर पढ़ें।
अनुमति बढ़ाए बिना समेकित करें
सारांश रूट एक नीति प्रविष्टि पाने का स्पष्ट तरीका है, और यह वह तरीका भी है जिससे संरक्षित समुच्चय चुपचाप बढ़ता है। दोनों /24 को ढकने वाला /20 ऐसे पते भी ढकता है जिन्हें दोनों में से कोई शाखा इस्तेमाल नहीं करती, और टनल उन्हें खुशी से ले जाएगी। यदि सारांश देना ही हो, तो उसे प्राप्ति पक्ष पर फ़िल्टरिंग के साथ जोड़ें ताकि अतिरिक्त जगह सिर्फ़ घोषित न होने के बजाय अस्वीकार हो। अस्वीकृत पैकेट प्रमाण है। बिना घोषित पता केवल प्रमाण का अभाव है।
सुरक्षा नीति को समेकित करना इस बात में बदलाव है कि क्या एन्क्रिप्ट किया जा सकता है। यह पहुँच का अनुदान नहीं है और इसे वैसा नहीं मानना चाहिए।
दोनों LAN जाँचें, फिर दोनों टनल रखें
समन्वित बदलाव के बाद सक्रिय सुरक्षा दायरे का निरीक्षण करें और फिर हर LAN से एक वास्तविक एप्लिकेशन चलाएँ। एक सबनेट का काम करना दूसरे की सिलेक्टर कवरेज के बारे में कुछ साबित नहीं करता, और उसके उत्तर पथ के बारे में तो और भी कम।
डिज़ाइन में दोनों टनल रखें। नीति समेकित करना अतिरेक छोड़ने की अनुमति नहीं है, और हर शाखा LAN ले जाने वाली एक ही टनल अगली रखरखाव विंडो को व्यवधान बना देती है।
बातचीत किए गए सिलेक्टर, दोनों प्रीफ़िक्स और रूट मालिकों को एक ही परिवर्तन रिकॉर्ड में लिखें। जब तीसरा LAN आए, वह रिकॉर्ड आपको बताएगा कि आप सिलेक्टर जोड़ रहे हैं या नए सिरे से शुरू कर रहे हैं।