CIDR locale e remoto in AWS VPN: quale lato è quale?

Apri le opzioni di Site-to-Site VPN, vedi due caselle CIDR etichettate come locale e remoto e allunghi la mano verso l'indirizzo che consideri locale: la VPC. È l'opposto di ciò che intende l'API. Nelle opzioni di connessione, LocalIpv4NetworkCidr indica il lato del gateway cliente e RemoteIpv4NetworkCidr il lato AWS, perché la connessione si costruisce dal gateway cliente. La console non lo dice mai ad alta voce e nulla rifiuta uno scambio che sembra plausibile.

Parti dalla chiamata API, non dall'etichetta della console

Leggi la referenza delle opzioni di connessione una volta, per intero, e nota che ogni opzione è scritta dal punto di vista del gateway cliente. Non è una casualità del nome. Il tunnel è descritto come appare al dispositivo che lo termina dal tuo lato, quindi locale significa la rete dietro il tuo gateway e remoto la rete dietro il gateway AWS. Sia i campi IPv4 sia quelli IPv6 seguono la stessa regola.

Scrivi le due etichette su un foglietto adesivo prima di digitare qualsiasi cosa: lato cliente, lato AWS. Poi associa i tuoi indirizzi a quelle.

Un esempio svolto con i ruoli attaccati

Supponi che il prefisso locale sia 10.20.0.0/16 e il prefisso della VPC sia 10.60.0.0/16. Le opzioni si leggono esattamente come suggeriscono i ruoli, con l'intervallo locale nel campo locale:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Ora consegna la stessa coppia a chi configura il dispositivo peer e guarda scattare la trappola. Su molti firewall, locale indica l'interfaccia su cui termina il tunnel e remoto l'estremità lontana, che è la mappatura inversa per il lato AWS. Entrambe le persone possono avere ragione e comunque produrre un tunnel che non si stabilisce mai, perché i due vocabolari descrivono estremità diverse.

Ripeti l'esercizio su carta nella terminologia del peer, con entrambi i CIDR e entrambe le etichette, prima di toccare qualsiasi dispositivo.

I valori predefiniti non sono una progettazione

La stessa referenza elenca 0.0.0.0/0 come valore predefinito per entrambi i campi IPv4, con valori analoghi per IPv6. Vedere quei valori in una connessione esistente ti dice che il campo non è mai stato ristretto, non che è stata configurata un'uscita internet. La distribuzione delle rotte, la tabella delle rotte della sottorete e i controlli di sicurezza decidono ancora quale traffico può realmente passare; i valori CIDR descrivono solo quali intervalli il tunnel è disposto a selezionare.

Sostituire un valore più stretto con il valore predefinito non è quindi un trucco di compatibilità da applicare quando un tunnel si comporta male. Allarga il selettore e lascia ogni altro livello esattamente com'era.

Il dispositivo peer usa l'altro punto di vista

Una volta chiaro il lato AWS, la configurazione del peer è dove vive la maggior parte della confusione rimanente. Un dispositivo che chiede una rete locale e una rete remota descrive la propria interfaccia come locale, quindi il tuo intervallo VPC va nel suo campo remoto e il tuo intervallo locale va nel suo campo locale. Se invece chiede selettori di traffico a coppie, stai scrivendo entrambe le direzioni in modo esplicito e le etichette contano meno dell'accoppiamento.

Leggi la guida dei campi del dispositivo, non i nomi dei campi. I produttori riusano le stesse due parole per tre concetti diversi.

Poi controlla lo stato del tunnel per entrambe le fasi, perché un selettore non coerente di solito si manifesta come un errore della seconda fase mentre la prima resta tranquillamente stabilita.

Cambia le opzioni come un cambio, non come documentazione

Modificare le opzioni di connessione su una VPN in produzione può interrompere il servizio, quindi trattalo come un intervento di manutenzione con una finestra, un valore di ripristino e una nota su chi è coinvolto. Registra prima le opzioni attuali, inclusi entrambi i campi CIDR e le opzioni del tunnel, così che tornare indietro sia incollare e non ricostruire.

Dopo la modifica, verifica dal lato AWS e dal peer: un'origine in ciascun intervallo che raggiunge una destinazione nell'altro, in entrambe le direzioni. Un solo ping da un lato dimostra un solo selettore.

Poi aggiorna la documentazione della connessione con i ruoli scritti, così la persona successiva non deve riscoprire che locale significa il tuo lato.