Մի քանի LAN մեկ AWS VPN թունելում. ինչ է նշանակում SA սահմանաչափը
AWS-ը թույլատրում է IPsec SA-ի մեկ զույգ յուրաքանչյուր թունելի համար, և դա մեկ ենթացանցի սահման չէ։ Նախ առանձնացրեք պաշտպանության շրջանակը երթուղավորումից և մուտքից։
AWS Site-to-Site VPN-ին երկրորդ մասնաճյուղային LAN ավելացնելը չի պահանջում երկրորդ անկախ IPsec միավորում այդ թունելի ներսում։ Այն սահմանը, որի վրա մարդիկ սայթաքում են, իրական է, բայց ավելի նեղ, քան հնչում է: AWS-ը փաստագրում է մեկ եզակի IPsec SA զույգ յուրաքանչյուր թունելի համար՝ մեկ ներգնա և մեկ ելքային, և միացության երկու թունելները յուրաքանչյուրն ստանում է իր զույգը։ Սա ծառայության հատկություն է, ոչ թե կանոն, որ IPsec-ը պաշտպանում է մեկ ենթացանց միաժամանակ։ Տարբերությունը ամենակարևորն է, երբ քաղաքականության վրա հիմնված հաճախորդի դարպասը յուրաքանչյուր քաղաքականության գրառում վերածում է իր սեփական միավորման։
Սկսեք միացումից, ոչ թե LAN-երի ցանկից
Բացեք միացումը վահանակում և նկատեք, թե ինչպես է այն երթուղավորվում։ Ստատիկ միացումը կրում է ձեր հայտարարած հեռավոր նախածանցերը։ BGP միացումը դրանք սովորում է հաճախորդի դարպասից։
Ինչպես էլ լինի, թունելը հիմնված է երթուղիների վրա։ Ինչ է մտնում դրա մեջ, որոշում են ձեր սարքի բանակցած ընտրիչները, ոչ թե ձևաթղթում մուտքագրելի ենթացանցերի քանակը։
Ուշադրություն դարձրեք, թե ինչ է բանակցում հաճախորդի դարպասը
Քաղաքականության վրա հիմնված սարքը կարող է յուրաքանչյուր քաղաքականության գրառում վերածել իր սեփական SA-ի։ Երկու LAN նշանակում է երկու գրառում, այսինքն՝ երկու SA, և հենց այստեղ է թունելի սահմանը սկսում նշանակություն ունենալ։ Հաճախորդի դարպասի պահանջները զգուշացնում են հենց այս վարքագծի մասին և առաջարկում են միավորված կանոններ այդ սարքերում։ Ստուգեք բանակցված ընտրիչները, այլ ոչ թե սարքի ACL-ների քանակը։
Սարքը պետք է կարգավորված լինի երկու նախածանցերն էլ մեկ քաղաքականության տակ ներկայացնելու համար, հակառակ դեպքում հեռավոր ծայրը պարզապես չի կարողանա պահել արդյունքը։
Երեք գույքագրում, առանձին պահված
Խառնեք այս երեք ցանկերը, և ամեն փոփոխություն դառնում է գուշակություն։ Պահեք դրանք որպես առանձին սյուներ և լրացրեք յուրաքանչյուրը ձեր սեփական ցանցի համար։
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Միայն միջին սյունն է սահմանափակված SA-ի սահմանով։ Առաջին սյունը բիզնես փաստ է, իսկ երրորդը այն է, ինչը ստիպում է հավելվածին աշխատել։ Կարդացեք սարքի վրա ընդունված ընտրիչները, փոխարենը՝ ձեր գրած ACL տողերի քանակից ծածկույթ եզրակացնելու։
Միավորեք առանց թույլտվության ընդլայնման
Ամփոփ երթուղին մեկ քաղաքականության գրառում ստանալու ակնհայտ միջոցն է, և դա նաև այն միջոցն է, որով պաշտպանված բազմությունը հանգիստ աճում է։ /20-ը, որը ծածկում է երկու /24-ը, ծածկում է նաև հասցեներ, որոնք ոչ մի մասնաճյուղ չի օգտագործում, և թունելը սիրով կկրի դրանք։ Եթե պետք է ամփոփել, զուգակցեք այն ստացող կողմի զտմամբ, որպեսզի ավելորդ տարածությունը մերժվի, այլ ոչ թե պարզապես չհայտարարվի։ Մերժված փաթեթը ապացույց է։ Չհայտարարված հասցեն միայն ապացույցի բացակայություն է։
Պաշտպանության քաղաքականության միավորումը փոփոխություն է այն բանում, ինչը կարող է գաղտնագրվել։ Դա մուտքի տրամադրում չէ և չպետք է այդպես դիտարկվի։
Փորձարկեք երկու LAN-երը, ապա պահեք երկու թունելները
Համաձայնեցված փոփոխությունից հետո ստուգեք ակտիվ պաշտպանության շրջանակը, ապա գործարկեք իրական հավելված յուրաքանչյուր LAN-ից։ Մեկ ենթացանցի աշխատանքը ոչինչ չի ապացուցում երկրորդի ընտրիչների ծածկույթի մասին, և առավել ևս դրա պատասխանի ուղու մասին։
Պահեք երկու թունելներն էլ նախագծում։ Քաղաքականության միավորումը ավելորդությունը դեն նետելու թույլտվություն չէ, և մեկ թունել, որը կրում է յուրաքանչյուր մասնաճյուղային LAN, հաջորդ սպասարկման պատուհանը դարձնում է ընդհատում։
Գրեք բանակցված ընտրիչները, երկու նախածանցերը և երթուղիների տերերին նույն փոփոխության գրառման մեջ։ Երբ գա երրորդ LAN-ը, այդ գրառումը ձեզ կասի՝ դուք ընտրիչ եք ավելացնում, թե սկսում եք նորից։