Több LAN egy AWS VPN-alagúton: mit jelent az SA-korlát
Az AWS alagútonként egy IPsec SA-párt engedélyez, és ez nem egy alhálózatra vonatkozó korlát. Először válassza el a védelmi hatókört az útválasztástól és a hozzáféréstől.
Egy második fióktelepi LAN hozzáadása az AWS Site-to-Site VPN-hez nem igényel második független IPsec-társítást azon az alagúton belül. A korlát, amelybe az emberek belebotlanak, valós, de szűkebb, mint amilyennek hangzik: az AWS dokumentálja egy egyedi IPsec SA-párt alagútonként, egy bejövőt és egy kimenőt, és egy kapcsolat két alagútja mindegyike a saját párját kapja. Ez a szolgáltatás tulajdonsága, nem pedig szabály, hogy az IPsec egyszerre egy alhálózatot véd. A különbség akkor a legfontosabb, amikor egy házirend-alapú ügyfélátjáró minden házirend-bejegyzést saját társítássá alakít.
A kapcsolattal kezdje, ne a LAN-listával
Nyissa meg a kapcsolatot a konzolon, és figyelje meg, hogyan van útválasztva. A statikus kapcsolat a megadott távoli előtagokat szállítja. A BGP-kapcsolat az ügyfélátjárótól tanulja meg őket.
Akárhogy is, az alagút útvonal-alapú. Hogy mi kerül bele, azt a készülék által egyeztetett szelektorok döntik el, nem az űrlapba beírható alhálózatok száma.
Figyelje, mit egyeztet az ügyfélátjáró
Egy házirend-alapú készülék minden házirend-bejegyzést saját SA-vá alakíthat. Két LAN két bejegyzést jelent, ami két SA-t jelent, és itt kezd számítani az alagútonkénti korlát. Az ügyfélátjáró követelményei pontosan erre a viselkedésre figyelmeztetnek, és összevont szabályokat javasolnak ezeken a készülékeken. Az egyeztetett szelektorokat ellenőrizze, ne a készüléken lévő ACL-ek számát.
A készüléket úgy kell beállítani, hogy mindkét előtagot egyetlen házirend alatt mutassa be, különben a távoli vég egyszerűen nem tudja megtartani az eredményt.
Három leltár, külön tartva
Keverje össze ezt a három listát, és minden változás találgatássá válik. Tartsa őket külön oszlopokként, és töltse ki mindegyiket a saját hálózatához.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Csak a középső oszlopot korlátozza az SA-korlát. Az első oszlop üzleti tény, a harmadik pedig az, ami működteti az alkalmazást. A készüléken elfogadott szelektorokat olvassa, ne abból következtessen a lefedettségre, hogy hány ACL-sort írt.
Egységesítsen az engedély kiterjesztése nélkül
Az összevont útvonal a kézenfekvő módja egyetlen házirend-bejegyzés megszerzésének, és ez az a mód is, ahogyan egy védett halmaz csendesen növekszik. Egy /20, amely mindkét /24-et lefedi, olyan címeket is lefed, amelyeket egyik fióktelep sem használ, és az alagút szívesen szállítja őket. Ha össze kell vonnia, kapcsolja össze szűréssel a fogadó oldalon, hogy a plusz terület elutasításra kerüljön, ne csak ne legyen meghirdetve. Az elutasított csomag bizonyíték. A meg nem hirdetett cím csak a bizonyíték hiánya.
A védelmi házirend egységesítése annak megváltoztatása, mi titkosítható. Ez nem hozzáférési engedély, és nem is szabad annak tekinteni.
Tesztelje mindkét LAN-t, majd tartsa meg mindkét alagutat
Egy összehangolt változtatás után vizsgálja meg az aktív védelmi hatókört, majd futtasson valódi alkalmazást mindkét LAN-ból. Egy alhálózat működése semmit sem bizonyít a második szelektorlefedettségéről, és még kevésbé a válaszútvonaláról.
Tartsa meg mindkét alagutat a tervben. A házirend egységesítése nem engedély a redundancia elhagyására, és egyetlen alagút, amely minden fióktelepi LAN-t szállít, a következő karbantartási ablakot kieséssé teszi.
Írja be az egyeztetett szelektorokat, a két előtagot és az útvonalak tulajdonosait ugyanabba a változási rekordba. Amikor megérkezik egy harmadik LAN, ez a rekord megmondja, hogy szelektort ad hozzá, vagy elölről kezdi.