AWS VPN ішіндегі жергілікті және қашықтағы CIDR: қай жақ қайсы?

Site-to-Site VPN параметрлерін ашасыз, жергілікті және қашықтағы деп белгіленген екі CIDR өрісін көресіз және жергілікті деп санайтын мекенжайға — VPC-ке — қол созасыз. Бұл API білдіретін мағынаға керісінше. Қосылым параметрлерінде LocalIpv4NetworkCidr тұтынушы шлюзінің жағын, ал RemoteIpv4NetworkCidr AWS жағын атайды, өйткені қосылым тұтынушы шлюзінен құрылады. Консоль мұны ешқашан дауыстап айтпайды және сенімді көрінетін ауыстыруды ештеңе қабылдамайды.

Консоль белгісінен емес, API шақыруынан бастаңыз

Қосылым параметрлерінің анықтамасын бір рет толық оқып шығыңыз және әрбір параметр тұтынушы шлюзінің көзқарасынан жазылғанын байқаңыз. Бұл атаудың кездейсоқтығы емес. Туннель сіздің жағыңызда оны аяқтайтын құрылғыға көрінгендей сипатталады, яғни жергілікті дегеніміз шлюзіңіздің артындағы желі, қашықтағы дегеніміз AWS шлюзінің артындағы желі. IPv4 те, IPv6 та өрістері бірдей ережеге бағынады.

Бірдеңе теру алдында екі белгіні жапсырма қағазға жазыңыз: тұтынушы жағы, AWS жағы. Содан кейін мекенжайларыңызды соларға сәйкестендіріңіз.

Рөлдері қосылған өңделген мысал

Жергілікті префикс 10.20.0.0/16, ал VPC префиксі 10.60.0.0/16 делік. Параметрлер рөлдер меңзегендей дәл оқылады, жергілікті ауқым жергілікті өрісте тұр:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Енді сол жұпты серіктес құрылғыны баптайтын адамға беріңіз және тұзақтың қалай іске қосылатынын көріңіз. Көптеген файрволдарда жергілікті туннель аяқталатын интерфейсті, ал қашықтағы алыс ұшты білдіреді, бұл AWS жағы үшін кері сәйкестендіру. Екеуі де дұрыс болып, соған қарамастан ешқашан аяқталмайтын туннель жасауы мүмкін, өйткені екі сөздік әртүрлі шеткі нүктелерді сипаттайды.

Кез келген құрылғыға тиіспес бұрын жаттығуды қағазда серіктес терминологиясымен қайталаңыз, екі CIDR және екі белгімен.

Әдепкі мәндер — дизайн емес

Сол анықтама 0.0.0.0/0 мәнін екі IPv4 өрісі үшін әдепкі ретінде көрсетеді, IPv6 үшін де ұқсас мәндер бар. Бұл мәндерді бар қосылымда көру өріс ешқашан тарылтылмағанын білдіреді, интернет шығысы бапталғанын емес. Маршруттарды тарату, ішкі желінің маршрут кестесі және қауіпсіздік бақылаулары қандай трафиктің шынымен өте алатынын әлі де шешеді; CIDR мәндері туннель қандай ауқымдарды таңдауға дайын екенін ғана сипаттайды.

Сондықтан тар мәнді әдепкімен ауыстыру туннель дұрыс жұмыс істемегенде қолданылатын үйлесімділік тәсілі емес. Ол селекторды кеңейтеді және қалған барлық қабаттарды бұрынғы күйінде қалдырады.

Серіктес құрылғы басқа көзқарасты пайдаланады

AWS жағы анық болған соң, серіктес конфигурациясы — қалған шатасудың көбі тұратын жер. Жергілікті желі мен қашықтағы желіні сұрайтын құрылғы өз интерфейсін жергілікті деп сипаттайды, сондықтан сіздің VPC ауқымы оның қашықтағы өрісіне, ал жергілікті ауқымыңыз оның жергілікті өрісіне түседі. Егер ол орнына трафик селекторларын жұппен сұраса, сіз екі бағытты да айқын жазасыз және белгілер жұптастырудан гөрі маңыздырақ емес.

Құрылғы өрістерінің атауларын емес, өрістердің көмегін оқыңыз. Өндірушілер бірдей екі сөзді үш түрлі ұғымға қайталап қолданады.

Содан кейін туннель күйін екі фаза үшін тексеріңіз, өйткені сәйкес келмейтін селектор әдетте екінші фазаның сәтсіздігі ретінде көрінеді, ал бірінші фаза тыныш орныққан күйінде қалады.

Параметрлерді құжаттама емес, өзгеріс ретінде өзгертіңіз

Жұмыс істеп тұрған VPN-де қосылым параметрлерін өңдеу қызметті үзуі мүмкін, сондықтан оны терезе, қайтару мәні және кімге әсер ететіні туралы жазбасы бар техникалық қызмет көрсету әрекеті ретінде қабылдаңыз. Алдымен ағымдағы параметрлерді, екі CIDR өрісі мен туннель параметрлерін қоса тіркеп алыңыз, сонда қайтару қайта құру емес, қою болып қалады.

Өзгерістен кейін AWS жағынан және серіктестен тексеріңіз: әр ауқымдағы көз екіншісіндегі межелі орынға жетеді, екі бағытта да. Бір жақтан бір ping бір селекторды дәлелдейді.

Содан кейін қосылым құжаттамасын рөлдерді жазып жаңартыңыз, келесі адам жергілікті сіздің жағыңызды білдіретінін қайта ашпауы үшін.