Beberapa LAN pada Satu Tunnel VPN AWS: Arti Batas SA
AWS mengizinkan satu pasangan IPsec SA per tunnel, dan itu bukan batas satu subnet. Pisahkan dulu cakupan perlindungan dari perutean dan akses.
Menambahkan LAN cabang kedua ke AWS Site-to-Site VPN tidak memerlukan asosiasi IPsec independen kedua di dalam tunnel itu. Batas yang membuat orang tersandung memang nyata, tetapi lebih sempit daripada kedengarannya: AWS mendokumentasikan satu pasangan IPsec SA unik per tunnel, satu masuk dan satu keluar, dan kedua tunnel dalam satu koneksi masing-masing mendapat pasangannya sendiri. Itu sifat layanan, bukan aturan bahwa IPsec melindungi satu subnet pada satu waktu. Pembedaan ini paling penting ketika gateway pelanggan berbasis kebijakan mengubah setiap entri kebijakan menjadi asosiasinya sendiri.
Mulailah dari koneksi, bukan dari daftar LAN
Buka koneksi di konsol dan perhatikan bagaimana peruteannya. Koneksi statis membawa prefiks jarak jauh yang Anda deklarasikan. Koneksi BGP mempelajarinya dari gateway pelanggan.
Bagaimanapun juga, tunnel ini berbasis rute. Apa yang masuk ke dalamnya ditentukan oleh selector yang dinegosiasikan perangkat Anda, bukan oleh jumlah subnet yang bisa Anda ketik di formulir.
Perhatikan apa yang dinegosiasikan gateway pelanggan
Perangkat berbasis kebijakan dapat mengubah setiap entri kebijakan menjadi SA sendiri. Dua LAN berarti dua entri, yang berarti dua SA, dan di sinilah batas per tunnel mulai berperan. Persyaratan gateway pelanggan memperingatkan tepat tentang perilaku ini dan menyarankan aturan gabungan pada perangkat tersebut. Periksa selector yang dinegosiasikan, bukan jumlah ACL di perangkat.
Perangkat harus dikonfigurasi untuk menyajikan kedua prefiks di bawah satu kebijakan, jika tidak ujung jauh tidak akan bisa menahan hasilnya.
Tiga inventaris, dijaga terpisah
Campur ketiga daftar ini dan setiap perubahan menjadi dugaan. Jaga mereka sebagai kolom terpisah dan isi masing-masing untuk jaringan Anda sendiri.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Hanya kolom tengah yang dibatasi oleh batas SA. Kolom pertama adalah fakta bisnis, dan kolom ketiga adalah yang membuat aplikasi berfungsi. Baca selector yang diterima di perangkat alih-alih menyimpulkan cakupan dari jumlah baris ACL yang Anda tulis.
Gabungkan tanpa memperlebar izin
Rute ringkas adalah cara jelas untuk mendapatkan satu entri kebijakan, dan itu juga cara himpunan terlindungi tumbuh diam-diam. /20 yang mencakup kedua /24 juga mencakup alamat yang tidak dipakai kedua cabang, dan tunnel akan dengan senang hati membawanya. Jika harus meringkas, pasangkan dengan penyaringan di sisi penerima agar ruang ekstra ditolak, bukan sekadar tidak diumumkan. Paket yang ditolak adalah bukti. Alamat yang tidak diumumkan hanyalah ketiadaan bukti.
Menggabungkan kebijakan perlindungan adalah perubahan pada apa yang boleh dienkripsi. Itu bukan pemberian akses dan tidak boleh diperlakukan sebagai pemberian akses.
Uji kedua LAN, lalu pertahankan kedua tunnel
Setelah perubahan terkoordinasi, periksa cakupan perlindungan aktif lalu jalankan aplikasi nyata dari setiap LAN. Satu subnet berfungsi tidak membuktikan apa pun tentang cakupan selector yang kedua, apalagi tentang jalur balasnya.
Pertahankan kedua tunnel dalam desain. Menggabungkan kebijakan bukanlah izin untuk membuang redundansi, dan satu tunnel yang membawa setiap LAN cabang membuat jendela pemeliharaan berikutnya menjadi pemadaman.
Tulis selector yang dinegosiasikan, kedua prefiks, dan pemilik rute ke dalam catatan perubahan yang sama. Saat LAN ketiga datang, catatan itu memberi tahu Anda apakah Anda menambahkan selector atau memulai dari awal.