Više LAN mreža na jednom AWS VPN tunelu: što znači ograničenje SA
AWS dopušta jedan par IPsec SA po tunelu, i to nije ograničenje na jednu podmrežu. Najprije odvojite opseg zaštite od usmjeravanja i pristupa.
Dodavanje druge LAN mreže podružnice na AWS Site-to-Site VPN ne zahtijeva drugu neovisnu IPsec asocijaciju unutar tog tunela. Ograničenje na koje ljudi nailaze stvarno je, ali uže nego što zvuči: AWS dokumentira jedan jedinstveni par IPsec SA po tunelu, jedan dolazni i jedan odlazni, a dva tunela u jednoj vezi svaki dobiva svoj par. To je svojstvo usluge, a ne pravilo da IPsec štiti jednu podmrežu odjednom. Razlika je najvažnija kada mrežni prolaz kupca zasnovan na pravilima pretvori svaki unos pravila u vlastitu asocijaciju.
Počnite s vezom, a ne s popisom LAN mreža
Otvorite vezu u konzoli i obratite pozornost kako se usmjerava. Statička veza nosi udaljene prefikse koje ste deklarirali. BGP veza ih uči od mrežnog prolaza kupca.
Bilo kako bilo, tunel se temelji na rutama. Što ulazi u njega određuju selektori koje vaš uređaj pregovara, a ne broj podmreža koje možete upisati u obrazac.
Pratite što mrežni prolaz kupca pregovara
Uređaj zasnovan na pravilima može pretvoriti svaki unos pravila u vlastiti SA. Dvije LAN mreže znače dva unosa, što znači dva SA, i tu ograničenje po tunelu počinje biti važno. Zahtjevi za mrežni prolaz kupca upozoravaju upravo na ovo ponašanje i predlažu objedinjena pravila na tim uređajima. Provjerite pregovarane selektore, a ne broj ACL-ova na uređaju.
Uređaj mora biti konfiguriran da predstavi oba prefiksa pod jednim pravilom, inače suprotna strana jednostavno ne može zadržati rezultat.
Tri inventara, držana odvojeno
Pomiješajte ove tri liste i svaka promjena postaje nagađanje. Držite ih kao odvojene stupce i ispunite svaki za svoju mrežu.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Samo je srednji stupac ograničen SA limitom. Prvi stupac je poslovna činjenica, a treći je ono što aplikaciju čini funkcionalnom. Čitajte prihvaćene selektore na uređaju umjesto da zaključujete pokrivenost iz broja ACL redaka koje ste napisali.
Objedinjenje bez širenja dozvole
Sažeta ruta očigledan je način da dobijete jedan unos pravila, a to je i način na koji zaštićeni skup tiho raste. /20 koji pokriva oba /24 pokriva i adrese koje nijedna podružnica ne koristi, a tunel će ih rado nositi. Ako morate sažimati, uparite to s filtriranjem na prijemnoj strani tako da se dodatni prostor odbije, a ne samo ne objavi. Odbijen paket je dokaz. Neobjavljena adresa samo je odsutnost dokaza.
Objedinjavanje zaštitne politike promjena je onoga što se smije šifrirati. To nije davanje pristupa i ne treba se tako tretirati.
Testirajte obje LAN mreže, pa zadržite oba tunela
Nakon koordinirane promjene pregledajte aktivni opseg zaštite, a zatim pokrenite stvarnu aplikaciju iz svake LAN mreže. Jedna podmreža koja radi ne dokazuje ništa o pokrivenosti selektora druge, a još manje o njezinoj povratnoj putanji.
Zadržite oba tunela u dizajnu. Objedinjavanje politike nije dopuštenje da odbacite redundantnost, a jedan tunel koji nosi svaku LAN mrežu podružnice čini sljedeći prozor za održavanje prekidom.
U isti zapis promjene upišite pregovarane selektore, oba prefiksa i vlasnike ruta. Kada dođe treća LAN mreža, taj zapis vam kaže dodajete li selektor ili počinjete iznova.