ლოკალური და დისტანციური CIDR AWS VPN-ში: რომელი მხარე რომელია?

ხსნით Site-to-Site VPN-ის პარამეტრებს, ხედავთ ორ CIDR ველს ლოკალური და დისტანციური ნიშნებით და ხელს იშვერთ იმ მისამართისკენ, რომელსაც ლოკალურად თვლით: VPC-ისკენ. ეს API-ის აზრის საწინააღმდეგოა. კავშირის პარამეტრებში LocalIpv4NetworkCidr ასახელებს მომხმარებლის კარიბჭის მხარეს, ხოლო RemoteIpv4NetworkCidr — AWS-ის მხარეს, რადგან კავშირი სწორედ მომხმარებლის კარიბჭიდან იგება. კონსოლი ამას არასდროს ამბობს ხმამაღლა და ვერც ერთი რამ ვერ უარყოფს დამაჯერებლად გამომხედველ გაცვლას.

დაიწყეთ API-ის გამოძახებიდან და არა კონსოლის ნიშნიდან

წაიკითხეთ კავშირის პარამეტრების ცნობარი ერთხელ, ბოლომდე და შეამჩნევთ, რომ ყველა პარამეტრი მომხმარებლის კარიბჭის თვალსაზრისითაა დაწერილი. ეს სახელდების შემთხვევითობა არ არის. გვირაბი აღწერილია ისე, როგორც მას თქვენს მხარეს დამამთავრებელი მოწყობილობა ხედავს, ამიტომ ლოკალური ნიშნავს თქვენი კარიბჭის უკან არსებულ ქსელს, დისტანციური კი AWS-ის კარიბჭის უკან არსებულ ქსელს. როგორც IPv4, ისე IPv6 ველები ერთსა და იმავე წესს ემორჩილება.

სანამ რამეს აკრეფთ, დაწერეთ ორი ნიშანი წებოვან ფურცელზე: მომხმარებლის მხარე, AWS-ის მხარე. შემდეგ თქვენი მისამართები მათზე გადაიტანეთ.

დამუშავებული მაგალითი როლებით

დავუშვათ, ლოკალური პრეფიქსია 10.20.0.0/16, ხოლო VPC-ის პრეფიქსი — 10.60.0.0/16. პარამეტრები ზუსტად ისე იკითხება, როგორც როლები გვკარნახობენ, ლოკალური დიაპაზონი ლოკალურ ველშია:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

ახლა იგივე წყვილი გადაეცით მას, ვინც პარტნიორ მოწყობილობას აყენებს და ნახეთ, როგორ ამოქმედდება ხაფანგი. ბევრ ფაირვოლში ლოკალური ნიშნავს ინტერფეისს, რომელზეც გვირაბი მთავრდება, დისტანციური კი შორეულ ბოლოს, რაც AWS-ის მხარისთვის შებრუნებული შესაბამისობაა. ორივეს შეიძლება მართალი იყოს და მაინც შეიქმნას გვირაბი, რომელიც არასდროს დასრულდება, რადგან ორი ლექსიკონი სხვადასხვა ბოლო წერტილს აღწერს.

გაიმეორეთ სავარჯიშო ქაღალდზე პარტნიორის ტერმინოლოგიით, ორივე CIDR-ითა და ორივე ნიშნით, სანამ რომელიმე მოწყობილობას შეეხებით.

ნაგულისხმევი მნიშვნელობები დიზაინი არ არის

იმავე ცნობარში 0.0.0.0/0 მითითებულია როგორც ნაგულისხმევი ორივე IPv4 ველისთვის, IPv6-ისთვის კი ანალოგიური მნიშვნელობებია. ამ მნიშვნელობების დანახვა არსებულ კავშირში გეუბნებათ, რომ ველი არასდროს შევიწროებულა და არა ის, რომ ინტერნეტის გასასვლელია მოწყობილი. მარშრუტების განაწილება, ქვექსელის მარშრუტების ცხრილი და უსაფრთხოების კონტროლი კვლავ წყვეტს, რა ტრაფიკს შეუძლია რეალურად გადასვლა; CIDR-ის მნიშვნელობები მხოლოდ აღწერს, რომელი დიაპაზონების არჩევასაა გვირაბი მზად.

ამიტომ ვიწრო მნიშვნელობის ნაგულისხმევით ჩანაცვლება თავსებადობის ხრიკი არ არის, რომელსაც გვირაბის არასწორად მუშაობისას გამოიყენებთ. ის აფართოებს ამომრჩევს და ყველა სხვა შრეს ზუსტად ისე ტოვებს, როგორც იყო.

პარტნიორი მოწყობილობა მეორე თვალსაზრისს იყენებს

როცა AWS-ის მხარე ნათელია, პარტნიორის კონფიგურაციაა ადგილი, სადაც დარჩენილი გაუგებრობის უმეტესობა ცხოვრობს. მოწყობილობა, რომელიც ლოკალურ და დისტანციურ ქსელს ითხოვს, საკუთარ ინტერფეისს ლოკალურად აღწერს, ამიტომ თქვენი VPC-ის დიაპაზონი მის დისტანციურ ველში მიდის, ლოკალური დიაპაზონი კი მის ლოკალურ ველში. თუ სამაგიეროდ ტრაფიკის ამომრჩევებს წყვილებად ითხოვს, ორივე მიმართულებას ცალსახად წერთ და ნიშნებზე ნაკლებად მნიშვნელოვანია წყვილების შეხამება.

წაიკითხეთ მოწყობილობის ველების დახმარება და არა ველების სახელები. მწარმოებლები ერთსა და იმავე ორ სიტყვას სამ სხვადასხვა ცნებისთვის იყენებენ.

შემდეგ შეამოწმეთ გვირაბის მდგომარეობა ორივე ფაზისთვის, რადგან შეუთავსებელი ამომრჩევი ჩვეულებრივ მეორე ფაზის წარუმატებლობად ჩნდება, მაშინ როცა პირველი ფაზა მშვიდად დგას დამყარებული.

შეცვალეთ პარამეტრები როგორც ცვლილება და არა როგორც დოკუმენტაცია

ცოცხალ VPN-ზე კავშირის პარამეტრების რედაქტირებამ შეიძლება სერვისი შეაწყვეტინოს, ამიტომ მოეკიდეთ როგორც ტექნიკური მომსახურების მოქმედებას ფანჯრით, დაბრუნების მნიშვნელობითა და ჩანაწერით, ვის ეხება. ჯერ ჩაიწერეთ მიმდინარე პარამეტრები, ორივე CIDR ველისა და გვირაბის პარამეტრების ჩათვლით, რათა დაბრუნება ჩასმა იყოს და არა ხელახლა აწყობა.

ცვლილების შემდეგ შეამოწმეთ AWS-ის მხრიდან და პარტნიორის მხრიდან: თითოეულ დიაპაზონში წყარო აღწევს მეორეში არსებულ დანიშნულებას, ორივე მიმართულებით. ერთი ping ერთი მხრიდან მხოლოდ ერთ ამომრჩევს ამტკიცებს.

შემდეგ განაახლეთ კავშირის დოკუმენტაცია როლების ჩაწერით, რათა შემდეგ ადამიანს აღარ მოუწიოს ხელახლა აღმოაჩინოს, რომ ლოკალური თქვენს მხარეს ნიშნავს.