AWS VPN: helyi és távoli CIDR - melyik oldal melyik?

Megnyitja a Site-to-Site VPN beállításait, két CIDR-mezőt lát helyi és távoli címkével, és ahhoz a címhez nyúl, amelyet helyinek tart: a VPC-hez. Ez az ellenkezője annak, amit az API jelent. A kapcsolat beállításaiban a LocalIpv4NetworkCidr az ügyfélátjáró oldalát nevezi meg, a RemoteIpv4NetworkCidr pedig az AWS oldalát, mert a kapcsolat az ügyfélátjárótól épül. A konzol ezt soha nem mondja ki hangosan, és semmi nem utasítja el a hihetőnek tűnő felcserélést.

Az API-hívással kezdje, ne a konzol címkéjével

Olvassa el a kapcsolati beállítások referenciáját egyszer, végig, és vegye észre, hogy minden beállítás az ügyfélátjáró szemszögéből íródott. Ez nem az elnevezés véletlene. Az alagutat úgy írják le, ahogy az az Ön oldalán lezáró eszköznek látszik, tehát a helyi az átjárója mögötti hálózatot jelenti, a távoli pedig az AWS-átjáró mögötti hálózatot. Az IPv4- és az IPv6-mezők is ugyanezt a szabályt követik.

Írja fel a két címkét egy öntapadós cetlire, mielőtt bármit begépel: ügyfél oldala, AWS oldala. Utána rendelje hozzá a címeit.

Kidolgozott példa a szerepekkel

Tegyük fel, hogy a helyi előtag 10.20.0.0/16, a VPC előtagja pedig 10.60.0.0/16. A beállítások pontosan úgy olvashatók, ahogy a szerepek sugallják, a helyi tartomány a helyi mezőben:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Most adja ugyanezt a párt annak, aki a partnereszközt konfigurálja, és figyelje, hogyan csap be a csapda. Sok tűzfalon a helyi a felületet jelenti, amelyen az alagút végződik, a távoli pedig a másik véget, ami az AWS oldala számára fordított leképezés. Mindkét embernek igaza lehet, és mégis olyan alagút jön létre, amely soha nem áll fel, mert a két szótár más végpontokat ír le.

Ismételje meg a gyakorlatot papíron a partner szóhasználatával, mindkét CIDR-rel és mindkét címkével, mielőtt bármelyik eszközhöz nyúl.

Az alapértékek nem tervek

Ugyanez a referencia a 0.0.0.0/0 értéket adja meg alapértékként mindkét IPv4-mezőhöz, hasonló IPv6-értékekkel. Ha ezeket az értékeket látja egy meglévő kapcsolatban, az azt jelenti, hogy a mezőt soha nem szűkítették, nem pedig azt, hogy internetes kijárat van beállítva. Az útvonalak terjesztése, az alhálózat útvonaltáblája és a biztonsági ellenőrzések továbbra is eldöntik, milyen forgalom haladhat át valójában; a CIDR-értékek csak azt írják le, mely tartományokat hajlandó kiválasztani az alagút.

A szűkebb érték alapértékre cserélése tehát nem kompatibilitási trükk, amelyet hibásan viselkedő alagútnál lehet alkalmazni. Kiszélesíti a szelektort, és minden más réteget pontosan úgy hagy, ahogy volt.

A partnereszköz a másik nézőpontot használja

Amikor az AWS oldala világos, a partner konfigurációja az a hely, ahol a fennmaradó zűrzavar nagy része lakik. Az az eszköz, amely helyi hálózatot és távoli hálózatot kér, a saját felületét nevezi helyinek, tehát az Ön VPC-tartománya a távoli mezőjébe kerül, a helyi tartománya pedig a helyi mezőjébe. Ha viszont forgalomszelektorokat kér páronként, mindkét irányt kifejezetten írja le, és a címkék kevésbé számítanak, mint a párosítás.

Az eszköz mezőinek súgóját olvassa, ne a mezőneveket. A gyártók ugyanazt a két szót használják három különböző fogalomra.

Utána ellenőrizze az alagút állapotát mindkét fázisra, mert a nem illeszkedő szelektor általában a második fázis hibájaként jelenik meg, miközben az első fázis nyugodtan fennmarad.

Változtassa a beállításokat változásként, ne dokumentációként

A kapcsolati beállítások szerkesztése élő VPN-en megszakíthatja a szolgáltatást, ezért kezelje karbantartási műveletként, időablakkal, visszaállítási értékkel és annak feljegyzésével, kit érint. Először rögzítse a jelenlegi beállításokat, beleértve mindkét CIDR-mezőt és az alagút beállításait, hogy a visszaállítás beillesztés legyen, ne újraépítés.

A módosítás után ellenőrizze az AWS oldaláról és a partnertől: minden tartományból egy forrás eléri a másik tartomány célját, mindkét irányban. Egyetlen ping az egyik oldalról egyetlen szelektort bizonyít.

Utána frissítse a kapcsolat dokumentációját a szerepekkel kiírva, hogy a következő embernek ne kelljen újra felfedeznie, hogy a helyi az Ön oldalát jelenti.