Бір AWS VPN туннеліндегі бірнеше LAN: SA шегі нені білдіреді
AWS әр туннельге бір IPsec SA жұбына рұқсат береді және бұл бір ішкі желінің шегі емес. Алдымен қорғау аясын маршруттау мен қатынаудан бөліңіз.
AWS Site-to-Site VPN-ге екінші филиал LAN-ын қосу сол туннельдің ішінде екінші тәуелсіз IPsec бірлестігін қажет етпейді. Адамдар сүрінетін шек шынайы, бірақ естілгеннен тар: AWS құжаттайды әр туннельге бір бірегей IPsec SA жұбын, біреуі кіріс және біреуі шығыс, ал бір қосылымдағы екі туннель әрқайсысы өз жұбын алады. Бұл қызметтің қасиеті, IPsec бір уақытта бір ішкі желіні қорғайды деген ереже емес. Айырмашылық ең маңызды болғанда, саясатқа негізделген клиент қақпасы әр саясат жазбасын өз бірлестігіне айналдырады.
LAN тізімінен емес, қосылымнан бастаңыз
Консольде қосылымды ашып, оның қалай маршрутталатынын байқаңыз. Статикалық қосылым сіз жариялаған қашықтағы префикстерді тасымалдайды. BGP қосылымы оларды клиент қақпасынан үйренеді.
Қалай болғанда да, туннель маршрутқа негізделген. Оған не кіретінін құрылғыңыз келісетін селекторлар анықтайды, формаға теруге болатын ішкі желілер саны емес.
Клиент қақпасының не туралы келісетінін қадағалаңыз
Саясатқа негізделген құрылғы әр саясат жазбасын өз SA-сына айналдыра алады. Екі LAN екі жазбаны білдіреді, бұл екі SA деген сөз, және осы жерде туннельге шаққандағы шек маңызды бола бастайды. Клиент қақпасына қойылатын талаптар дәл осы мінез-құлық туралы ескертеді және сол құрылғыларда біріктірілген ережелерді ұсынады. Құрылғыдағы ACL санын емес, келісілген селекторларды тексеріңіз.
Құрылғы екі префиксті бір саясат аясында ұсынуға конфигурациялануы керек, әйтпесе қарсы жақ нәтижені ұстай алмайды.
Үш тізім, бөлек ұсталған
Осы үш тізімді араластырыңыз, сонда әр өзгеріс болжамға айналады. Оларды бөлек бағандар ретінде ұстап, әрқайсысын өз желіңіз үшін толтырыңыз.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Тек ортаңғы баған SA шегімен шектелген. Бірінші баған бизнес фактісі, ал үшіншісі қолданбаны жұмыс істететін нәрсе. Құрылғыдағы қабылданған селекторларды оқыңыз, жазған ACL жолдарының санынан қамтуды болжаудың орнына.
Рұқсатты кеңейтпей біріктіріңіз
Жиынтық маршрут бір саясат жазбасын алудың айқын жолы, сонымен қатар қорғалған жиынның тыныш өсу жолы. Екі /24-ті қамтитын /20 ешбір филиал пайдаланбайтын мекенжайларды да қамтиды, және туннель оларды қуана тасымалдайды. Егер жинақтау қажет болса, оны қабылдаушы жақтағы сүзгілеумен ұштастырыңыз, сонда қосымша кеңістік жай ғана жарияланбай қоймай, қабылданбайды. Қабылданбаған пакет дәлел. Жарияланбаған мекенжай тек дәлелдің жоқтығы.
Қорғау саясатын біріктіру шифрлауға болатын нәрсенің өзгеруі. Бұл қатынау беру емес және солай қарастырылмауы керек.
Екі LAN-ды сынап көріңіз, содан кейін екі туннельді де сақтаңыз
Үйлестірілген өзгерістен кейін белсенді қорғау аясын тексеріп, содан кейін әр LAN-дан нақты қолданбаны іске қосыңыз. Бір ішкі желінің жұмысы екіншісінің селектор қамтуы туралы ештеңе дәлелдемейді, оның жауап жолы туралы одан да аз.
Дизайнда екі туннельді де сақтаңыз. Саясатты біріктіру артықтықтан бас тартуға рұқсат емес, ал әр филиал LAN-ын тасымалдайтын бір туннель келесі техникалық қызмет терезесін үзіліске айналдырады.
Келісілген селекторларды, екі префиксті және маршрут иелерін бір өзгеріс жазбасына жазыңыз. Үшінші LAN келгенде, бұл жазба сізге селектор қосып жатқаныңызды немесе басынан бастап жатқаныңызды айтады.