მრავალი LAN ერთ AWS VPN გვირაბში: რას ნიშნავს SA ლიმიტი
AWS ნებას რთავს ერთ IPsec SA წყვილს გვირაბზე და ეს არ არის ერთი ქვექსელის ლიმიტი. ჯერ გამოყავით დაცვის არე მარშრუტიზაციისა და წვდომისგან.
მეორე ფილიალის LAN-ის დამატება AWS Site-to-Site VPN-ში არ მოითხოვს მეორე დამოუკიდებელ IPsec ასოციაციას ამ გვირაბის შიგნით. ლიმიტი, რომელზეც ხალხი წაიქცევა, რეალურია, მაგრამ უფრო ვიწრო, ვიდრე ჟღერს: AWS ადასტურებს ერთ უნიკალურ IPsec SA წყვილს თითო გვირაბზე, ერთი შემავალი და ერთი გამავალი, და ერთი კავშირის ორი გვირაბი თითოეული იღებს საკუთარ წყვილს. ეს სერვისის თვისებაა და არა წესი, რომ IPsec ერთდროულად ერთ ქვექსელს იცავს. განსხვავება ყველაზე მნიშვნელოვანია მაშინ, როცა პოლიტიკაზე დაფუძნებული მომხმარებლის კარიბჭე ყოველ პოლიტიკის ჩანაწერს საკუთარ ასოციაციად აქცევს.
დაიწყეთ კავშირით, და არა LAN-ების სიით
გახსენით კავშირი კონსოლში და დააკვირდით, როგორ მარშრუტიზდება. სტატიკური კავშირი ატარებს თქვენ მიერ გამოცხადებულ დისტანციურ პრეფიქსებს. BGP კავშირი მათ მომხმარებლის კარიბჭისგან სწავლობს.
როგორც არ უნდა იყოს, გვირაბი მარშრუტებზეა დაფუძნებული. რა შედის მასში, განსაზღვრავს სელექტორები, რომლებზეც თქვენი მოწყობილობა მოლაპარაკდება, და არა ქვექსელების რაოდენობა, რომლებსაც ფორმაში აკრეფთ.
უყურეთ, რაზე მოლაპარაკდება მომხმარებლის კარიბჭე
პოლიტიკაზე დაფუძნებულ მოწყობილობას შეუძლია ყოველი პოლიტიკის ჩანაწერი საკუთარ SA-დ აქციოს. ორი LAN ნიშნავს ორ ჩანაწერს, რაც ნიშნავს ორ SA-ს, და აქ იწყებს გვირაბზე ლიმიტის მნიშვნელობის ქონას. მომხმარებლის კარიბჭის მოთხოვნები ზუსტად ამ ქცევის შესახებ აფრთხილებენ და ამ მოწყობილობებზე კონსოლიდირებულ წესებს გვთავაზობენ. შეამოწმეთ მოლაპარაკებული სელექტორები და არა ACL-ების რაოდენობა მოწყობილობაზე.
მოწყობილობა ისე უნდა იყოს კონფიგურირებული, რომ ორივე პრეფიქსი ერთი პოლიტიკის ქვეშ წარმოადგინოს, თორემ მოპირდაპირე მხარე შედეგს ვერ შეინარჩუნებს.
სამი ინვენტარი, ცალ-ცალკე შენახული
აურიეთ ეს სამი სია და ყოველი ცვლილება ვარაუდი ხდება. შეინახეთ ისინი ცალკე სვეტებად და შეავსეთ თითოეული თქვენი ქსელისთვის.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
მხოლოდ შუა სვეტია შეზღუდული SA-ის ლიმიტით. პირველი სვეტი ბიზნეს ფაქტია, ხოლო მესამე არის ის, რაც აპლიკაციას მუშაობს. წაიკითხეთ მიღებული სელექტორები მოწყობილობაზე, ნაცვლად იმისა, რომ დაფარვა გამოიტანოთ თქვენ მიერ დაწერილი ACL ხაზების რაოდენობიდან.
გააერთიანეთ ნებართვის გაფართოების გარეშე
შემაჯამებელი მარშრუტი ერთი პოლიტიკის ჩანაწერის მიღების აშკარა გზაა და ასევე ის გზაა, რომლითაც დაცული ნაკრები ჩუმად იზრდება. /20, რომელიც ორივე /24-ს ფარავს, ფარავს იმ მისამართებსაც, რომლებსაც არც ერთი ფილიალი არ იყენებს, და გვირაბი სიამოვნებით გადაიტანს მათ. თუ აუცილებლად უნდა შეაჯამოთ, დააკავშირეთ იგი მიმღებ მხარეს ფილტრაციასთან, რათა ზედმეტი სივრცე უარყოფილი იქნას და არა უბრალოდ გამოცხადებული. უარყოფილი პაკეტი მტკიცებულებაა. გამოუცხადებელი მისამართი მხოლოდ მტკიცებულების არარსებობაა.
დაცვის პოლიტიკის გაერთიანება ცვლილებაა იმაში, თუ რა შეიძლება დაიშიფროს. ეს არ არის წვდომის მინიჭება და არც ისე უნდა განიხილოს.
შეამოწმეთ ორივე LAN და შემდეგ შეინარჩუნეთ ორივე გვირაბი
კოორდინირებული ცვლილების შემდეგ შეამოწმეთ აქტიური დაცვის არე და შემდეგ გაუშვით რეალური აპლიკაცია თითოეული LAN-იდან. ერთი ქვექსელის მუშაობა არაფერს ამტკიცებს მეორის სელექტორების დაფარვაზე და მით უმეტეს მისი პასუხის გზაზე.
შეინარჩუნეთ ორივე გვირაბი დიზაინში. პოლიტიკის გაერთიანება ზედმეტობის გაუქმების ნებართვა არ არის და ერთი გვირაბი, რომელიც ყოველ ფილიალის LAN-ს ატარებს, შემდეგ ტექნიკურ ფანჯარას შეფერხებად აქცევს.
ჩაწერეთ მოლაპარაკებული სელექტორები, ორივე პრეფიქსი და მარშრუტების მფლობელები ერთსა და იმავე ცვლილების ჩანაწერში. როცა მესამე LAN მოვა, ეს ჩანაწერი გეტყვით, ამატებთ სელექტორს თუ იწყებთ თავიდან.