Margir LAN á einum AWS VPN-göngum: hvað felst í SA-mörkunum
AWS leyfir eitt IPsec SA par á hverja göng, og það er ekki mörk á eitt undirnet. Aðskiljið fyrst verndarsvið frá leiðsögn og aðgangi.
Að bæta öðru útibús-LAN við AWS Site-to-Site VPN krefst ekki annarrar sjálfstæðrar IPsec-samtengingar inni í þeim göngum. Mörkin sem fólk hrasar á eru raunveruleg en þrengri en þau hljóma: AWS skjalfestir eitt einstakt IPsec SA par á hverja göng, eitt inn og eitt út, og göngin tvö í einni tengingu fá hvort sitt parið. Þetta er eiginleiki þjónustunnar, ekki regla um að IPsec verndi eitt undirnet í einu. Greiningin skiptir mestu þegar stefnubundin viðskiptavinahlið breytir hverri stefnufærslu í sína eigin samtengingu.
Byrjið á tengingunni, ekki LAN-listann
Opnið tenginguna í stjórnborðinu og takið eftir hvernig henni er beitt. Statísk tenging ber fjarlægu forskeytin sem þið lýstir yfir. BGP-tenging lærir þau af viðskiptavinahliðinni.
Hvort sem er, göngin eru leiðarbundin. Hvað fer inn í þau ræðst af þeim valurum sem tækið þitt semur um, ekki af fjölda undirneta sem þú getur slegið inn í eyðublað.
Fylgist með hvað viðskiptavinahliðin semur um
Stefnubundið tæki getur breytt hverri stefnufærslu í sitt eigið SA. Tvö LAN þýða tvær færslur, sem þýðir tvö SA, og þar byrja mörk á hverja göng að skipta máli. Kröfur til viðskiptavinahliðar vara sérstaklega við þessari hegðun og stinga upp á sameinuðum reglum á þeim tækjum. Skoðið samningsvalurna frekar en fjölda ACL á tækinu.
Tækið verður að vera stillt til að sýna bæði forskeytin undir einni stefnu, annars getur fjarlægi endinn einfaldlega ekki haldið niðurstöðunni.
Þrjár skrár, haldnar aðskildar
Blandið þessum þremur listum og hver breyting verður gisk. Haldið þeim sem aðskildum dálkum og fyllið út hvern fyrir þitt eigið net.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Aðeins miðdálkurinn er takmarkaður af SA-mörkunum. Fyrsti dálkurinn er viðskiptastaðreynd, og sá þriðji er það sem lætur forrit virka. Lesið samþykktu valurna á tækinu í stað þess að álykta um þekju út frá fjölda ACL-lína sem þið skrifuðu.
Sameinið án þess að víkka heimildina
Samantektarleið er augljós leiðin til að fá eina stefnufærslu, og það er líka leiðin sem verndað mengi vex hljóðlega. /20 sem nær yfir bæði /24 nær einnig yfir heimilisföng sem hvorug útibúið notar, og göngin munu fúslega bera þau. Ef þið verðið að taka saman, parið það við síun á móttökuhliðinni þannig að aukarýminu sé hafnað í stað þess að vera bara ekki tilkynnt. Hafnað pakki er sönnun. Ótilkynnt heimilisfang er bara skortur á sönnun.
Að sameina verndarstefnuna er breyting á því hvað má dulrita. Það er ekki veiting aðgangs og ætti ekki að meðhöndla sem slíkt.
Prófið bæði LAN og haldið svo báðum göngum
Eftir samræmda breytingu skoðið virka verndarsviðið og keyrið síðan raunverulegt forrit frá hverju LAN. Að eitt undirnet virki sannar ekkert um valaraþekju hins, og enn síður um svarleið þess.
Haldið báðum göngum í hönnuninni. Að sameina stefnu er ekki leyfi til að henda offramboði, og ein göng sem bera hvert útibús-LAN gera næsta viðhaldsglugga að truflun.
Skráið samningsvalurna, forskeytin tvö og eigendur leiða í sömu breytingarskrá. Þegar þriðja LAN kemur segir sú skrá þér hvort þú sért að bæta við valara eða byrja upp á nýtt.