CIDR lokal dan jarak jauh di AWS VPN: sisi mana yang mana?

Anda membuka opsi Site-to-Site VPN, melihat dua kotak CIDR berlabel lokal dan jarak jauh, lalu meraih alamat yang Anda anggap lokal: VPC. Itu kebalikan dari maksud API. Dalam opsi koneksi, LocalIpv4NetworkCidr menamai sisi gateway pelanggan dan RemoteIpv4NetworkCidr menamai sisi AWS, karena koneksi dibangun dari gateway pelanggan. Konsol tidak pernah mengatakannya dengan lantang, dan tidak ada yang menolak pertukaran yang tampak masuk akal.

Mulai dari panggilan API, bukan dari label konsol

Baca referensi opsi koneksi sekali sampai habis dan perhatikan bahwa setiap opsi ditulis dari sudut pandang gateway pelanggan. Itu bukan kebetulan penamaan. Tunnel dijelaskan seperti yang terlihat oleh perangkat yang mengakhirinya di sisi Anda, jadi lokal berarti jaringan di belakang gateway Anda dan jarak jauh berarti jaringan di belakang gateway AWS. Kolom IPv4 maupun IPv6 mengikuti aturan yang sama.

Tuliskan kedua label di catatan tempel sebelum mengetik apa pun: sisi pelanggan, sisi AWS. Lalu petakan alamat Anda ke sana.

Contoh kerja dengan perannya ditempel

Misalkan prefiks lokal adalah 10.20.0.0/16 dan prefiks VPC adalah 10.60.0.0/16. Opsi terbaca persis seperti yang disarankan peran, dengan rentang lokal di kolom lokal:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Sekarang serahkan pasangan yang sama kepada siapa pun yang mengonfigurasi perangkat peer dan lihat jebakannya bekerja. Di banyak firewall, lokal berarti antarmuka tempat tunnel berakhir dan jarak jauh berarti ujung seberang, yang merupakan pemetaan terbalik untuk sisi AWS. Keduanya bisa benar dan tetap menghasilkan tunnel yang tidak pernah selesai, karena kedua kosakata menggambarkan titik akhir yang berbeda.

Ulangi latihan di atas kertas dengan terminologi peer, beserta kedua CIDR dan kedua label, sebelum ada perangkat yang disentuh.

Nilai bawaan bukanlah desain

Referensi yang sama mencantumkan 0.0.0.0/0 sebagai nilai bawaan untuk kedua kolom IPv4, dengan nilai serupa untuk IPv6. Melihat nilai itu pada koneksi yang sudah ada memberi tahu Anda bahwa kolomnya tidak pernah dipersempit, bukan bahwa jalan keluar internet telah dikonfigurasi. Distribusi rute, tabel rute subnet, dan kendali keamanan tetap menentukan lalu lintas apa yang benar-benar bisa lewat; nilai CIDR hanya menggambarkan rentang mana yang bersedia dipilih tunnel.

Jadi mengganti nilai yang lebih sempit dengan nilai bawaan bukanlah trik kompatibilitas yang bisa dipakai saat tunnel berperilaku salah. Itu melebarkan pemilih dan membiarkan setiap lapisan lain persis seperti sebelumnya.

Perangkat peer memakai sudut pandang lain

Setelah sisi AWS jelas, konfigurasi peer adalah tempat sebagian besar kebingungan yang tersisa. Perangkat yang meminta jaringan lokal dan jaringan jarak jauh menggambarkan antarmukanya sendiri sebagai lokal, jadi rentang VPC Anda masuk ke kolom jarak jauhnya dan rentang lokal Anda masuk ke kolom lokalnya. Jika sebaliknya ia meminta pemilih lalu lintas secara berpasangan, Anda menulis kedua arah secara eksplisit dan labelnya kurang penting daripada pemasangannya.

Baca bantuan kolom perangkat, bukan nama kolomnya. Vendor memakai dua kata yang sama untuk tiga konsep berbeda.

Lalu periksa status tunnel untuk kedua fase, karena pemilih yang tidak cocok biasanya muncul sebagai kegagalan fase kedua sementara fase pertama tetap berdiri tenang.

Ubahlah opsi seperti sebuah perubahan, bukan seperti dokumentasi

Mengedit opsi koneksi pada VPN yang aktif bisa mengganggu layanan, jadi perlakukan sebagai tindakan pemeliharaan dengan jendela waktu, nilai pengembalian, dan catatan siapa yang terdampak. Ambil dulu opsi saat ini, termasuk kedua kolom CIDR dan opsi tunnel, agar pengembalian cukup ditempel, bukan dibangun ulang.

Setelah perubahan, verifikasi dari sisi AWS dan dari peer: sumber di setiap rentang mencapai tujuan di rentang lain, di kedua arah. Satu ping dari satu sisi hanya membuktikan satu pemilih.

Lalu perbarui dokumentasi koneksi dengan peran yang dituliskan, agar orang berikutnya tidak perlu menemukan lagi bahwa lokal berarti sisi Anda.