ಒಂದು AWS VPN ಸುರಂಗದಲ್ಲಿ ಹಲವು LAN: SA ಮಿತಿ ಎಂದರೇನು
AWS ಪ್ರತಿ ಸುರಂಗಕ್ಕೆ ಒಂದು IPsec SA ಜೋಡಿಯನ್ನು ಅನುಮತಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಒಂದು ಸಬ್ನೆಟ್ ಮಿತಿಯಲ್ಲ. ಮೊದಲು ರಕ್ಷಣಾ ವ್ಯಾಪ್ತಿಯನ್ನು ರೂಟಿಂಗ್ ಮತ್ತು ಪ್ರವೇಶದಿಂದ ಬೇರ್ಪಡಿಸಿ.
AWS Site-to-Site VPN ಗೆ ಎರಡನೇ ಶಾಖಾ LAN ಸೇರಿಸಲು ಆ ಸುರಂಗದ ಒಳಗೆ ಎರಡನೇ ಸ್ವತಂತ್ರ IPsec ಸಂಘವು ಅಗತ್ಯವಿಲ್ಲ. ಜನರು ಎಡವುವ ಮಿತಿ ನಿಜವಾದರೂ ಕೇಳಿದ್ದಕ್ಕಿಂತ ಸಂಕುಚಿತವಾಗಿದೆ: AWS ದಾಖಲಿಸುತ್ತದೆ ಪ್ರತಿ ಸುರಂಗಕ್ಕೆ ಒಂದು ಅನನ್ಯ IPsec SA ಜೋಡಿ, ಒಂದು ಒಳಬರುವ ಮತ್ತು ಒಂದು ಹೊರಹೋಗುವ, ಮತ್ತು ಒಂದು ಸಂಪರ್ಕದ ಎರಡು ಸುರಂಗಗಳು ಪ್ರತಿಯೊಂದೂ ತಮ್ಮದೇ ಜೋಡಿಯನ್ನು ಪಡೆಯುತ್ತವೆ. ಇದು ಸೇವೆಯ ಗುಣಲಕ್ಷಣ, IPsec ಒಂದು ಸಮಯದಲ್ಲಿ ಒಂದು ಸಬ್ನೆಟ್ ಅನ್ನು ರಕ್ಷಿಸುತ್ತದೆ ಎಂಬ ನಿಯಮವಲ್ಲ. ನೀತಿ ಆಧಾರಿತ ಗ್ರಾಹಕ ಗೇಟ್ವೇ ಪ್ರತಿ ನೀತಿ ನಮೂದನ್ನು ತನ್ನದೇ ಸಂಘವಾಗಿ ಪರಿವರ್ತಿಸಿದಾಗ ಈ ವ್ಯತ್ಯಾಸ ಅತ್ಯಂತ ಮುಖ್ಯವಾಗುತ್ತದೆ.
LAN ಪಟ್ಟಿಯಿಂದ ಅಲ್ಲ, ಸಂಪರ್ಕದಿಂದ ಪ್ರಾರಂಭಿಸಿ
ಕನ್ಸೋಲ್ನಲ್ಲಿ ಸಂಪರ್ಕ ತೆರೆಯಿರಿ ಮತ್ತು ಅದು ಹೇಗೆ ರೂಟ್ ಆಗುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ. ಸ್ಥಿರ ಸಂಪರ್ಕ ನೀವು ಘೋಷಿಸಿದ ದೂರದ ಪ್ರಿಫಿಕ್ಸ್ಗಳನ್ನು ಸಾಗಿಸುತ್ತದೆ. BGP ಸಂಪರ್ಕ ಅವನ್ನು ಗ್ರಾಹಕ ಗೇಟ್ವೇಯಿಂದ ಕಲಿಯುತ್ತದೆ.
ಹೇಗಾದರೂ, ಸುರಂಗ ಮಾರ್ಗ ಆಧಾರಿತವಾಗಿದೆ. ಅದರೊಳಗೆ ಏನು ಹೋಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿಮ್ಮ ಸಾಧನ ಸಂಧಾನ ಮಾಡುವ ಸೆಲೆಕ್ಟರ್ಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ, ಫಾರ್ಮ್ನಲ್ಲಿ ಟೈಪ್ ಮಾಡಬಹುದಾದ ಸಬ್ನೆಟ್ಗಳ ಸಂಖ್ಯೆಯಲ್ಲ.
ಗ್ರಾಹಕ ಗೇಟ್ವೇ ಏನನ್ನು ಸಂಧಾನ ಮಾಡುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ
ನೀತಿ ಆಧಾರಿತ ಸಾಧನ ಪ್ರತಿ ನೀತಿ ನಮೂದನ್ನು ತನ್ನದೇ SA ಆಗಿ ಪರಿವರ್ತಿಸಬಹುದು. ಎರಡು LAN ಎಂದರೆ ಎರಡು ನಮೂದುಗಳು, ಅಂದರೆ ಎರಡು SA, ಮತ್ತು ಇಲ್ಲಿಯೇ ಪ್ರತಿ ಸುರಂಗದ ಮಿತಿ ಮುಖ್ಯವಾಗಲು ಪ್ರಾರಂಭಿಸುತ್ತದೆ. ಗ್ರಾಹಕ ಗೇಟ್ವೇ ಅಗತ್ಯಗಳು ನಿಖರವಾಗಿ ಈ ವರ್ತನೆಯ ಬಗ್ಗೆ ಎಚ್ಚರಿಸುತ್ತವೆ ಮತ್ತು ಆ ಸಾಧನಗಳಲ್ಲಿ ಸಂಯೋಜಿತ ನಿಯಮಗಳನ್ನು ಸೂಚಿಸುತ್ತವೆ. ಸಾಧನದಲ್ಲಿನ ACL ಎಣಿಕೆಯ ಬದಲು ಸಂಧಾನವಾದ ಸೆಲೆಕ್ಟರ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.
ಸಾಧನವನ್ನು ಒಂದೇ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಎರಡೂ ಪ್ರಿಫಿಕ್ಸ್ಗಳನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಲು ಸಂರಚಿಸಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ದೂರದ ತುದಿ ಫಲಿತಾಂಶವನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಲು ಸಾಧ್ಯವಿಲ್ಲ.
ಮೂರು ದಾಸ್ತಾನುಗಳು, ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡಲಾಗಿದೆ
ಈ ಮೂರು ಪಟ್ಟಿಗಳನ್ನು ಮಿಶ್ರಣ ಮಾಡಿ ಮತ್ತು ಪ್ರತಿ ಬದಲಾವಣೆಯೂ ಊಹೆಯಾಗುತ್ತದೆ. ಅವನ್ನು ಪ್ರತ್ಯೇಕ ಕಾಲಮ್ಗಳಾಗಿ ಇರಿಸಿ ಮತ್ತು ನಿಮ್ಮ ಸ್ವಂತ ನೆಟ್ವರ್ಕ್ಗಾಗಿ ಪ್ರತಿಯೊಂದನ್ನು ಭರ್ತಿ ಮಾಡಿ.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
ಕೇವಲ ಮಧ್ಯದ ಕಾಲಮ್ SA ಮಿತಿಯಿಂದ ಸೀಮಿತವಾಗಿದೆ. ಮೊದಲ ಕಾಲಮ್ ವ್ಯಾಪಾರದ ಸತ್ಯ, ಮತ್ತು ಮೂರನೆಯದು ಅಪ್ಲಿಕೇಶನ್ ಕೆಲಸ ಮಾಡಿಸುವುದು. ನೀವು ಬರೆದ ACL ಸಾಲುಗಳ ಸಂಖ್ಯೆಯಿಂದ ವ್ಯಾಪ್ತಿಯನ್ನು ಊಹಿಸುವ ಬದಲು ಸಾಧನದಲ್ಲಿ ಸ್ವೀಕರಿಸಿದ ಸೆಲೆಕ್ಟರ್ಗಳನ್ನು ಓದಿ.
ಅನುಮತಿ ವಿಸ್ತರಿಸದೆ ಸಂಯೋಜಿಸಿ
ಸಾರಾಂಶ ಮಾರ್ಗವು ಒಂದು ನೀತಿ ನಮೂದನ್ನು ಪಡೆಯುವ ಸ್ಪಷ್ಟ ದಾರಿ, ಮತ್ತು ರಕ್ಷಿತ ಗುಂಪು ಮೌನವಾಗಿ ಬೆಳೆಯುವ ದಾರಿಯೂ ಅದೇ. ಎರಡೂ /24 ಅನ್ನು ಆವರಿಸುವ /20 ಯಾವುದೇ ಶಾಖೆಯೂ ಬಳಸದ ವಿಳಾಸಗಳನ್ನೂ ಆವರಿಸುತ್ತದೆ, ಮತ್ತು ಸುರಂಗ ಅವನ್ನು ಸಂತೋಷದಿಂದ ಸಾಗಿಸುತ್ತದೆ. ಸಾರಾಂಶ ಮಾಡಲೇಬೇಕಾದರೆ, ಸ್ವೀಕರಿಸುವ ಬದಿಯಲ್ಲಿ ಫಿಲ್ಟರಿಂಗ್ನೊಂದಿಗೆ ಜೋಡಿಸಿ ಇದರಿಂದ ಹೆಚ್ಚುವರಿ ಜಾಗವು ಕೇವಲ ಘೋಷಿಸದೆ ಇರುವುದಕ್ಕಿಂತ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ. ನಿರಾಕರಿಸಿದ ಪ್ಯಾಕೆಟ್ ಸಾಕ್ಷ್ಯ. ಘೋಷಿಸದ ವಿಳಾಸವು ಸಾಕ್ಷ್ಯದ ಅನುಪಸ್ಥಿತಿ ಮಾತ್ರ.
ರಕ್ಷಣಾ ನೀತಿಯನ್ನು ಸಂಯೋಜಿಸುವುದು ಏನನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಬಹುದು ಎಂಬುದರಲ್ಲಿ ಬದಲಾವಣೆ. ಇದು ಪ್ರವೇಶದ ಅನುದಾನವಲ್ಲ ಮತ್ತು ಹಾಗೆ ಪರಿಗಣಿಸಬಾರದು.
ಎರಡೂ LAN ಪರೀಕ್ಷಿಸಿ, ನಂತರ ಎರಡೂ ಸುರಂಗಗಳನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ
ಸಂಯೋಜಿತ ಬದಲಾವಣೆಯ ನಂತರ ಸಕ್ರಿಯ ರಕ್ಷಣಾ ವ್ಯಾಪ್ತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ನಂತರ ಪ್ರತಿ LAN ನಿಂದ ನಿಜವಾದ ಅಪ್ಲಿಕೇಶನ್ ಚಲಾಯಿಸಿ. ಒಂದು ಸಬ್ನೆಟ್ ಕೆಲಸ ಮಾಡುವುದು ಎರಡನೆಯದರ ಸೆಲೆಕ್ಟರ್ ವ್ಯಾಪ್ತಿಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ, ಅದರ ಪ್ರತ್ಯುತ್ತರ ಮಾರ್ಗದ ಬಗ್ಗೆ ಇನ್ನೂ ಕಡಿಮೆ.
ವಿನ್ಯಾಸದಲ್ಲಿ ಎರಡೂ ಸುರಂಗಗಳನ್ನು ಇರಿಸಿ. ನೀತಿ ಸಂಯೋಜನೆ ಪುನರಾವರ್ತನೆಯನ್ನು ತ್ಯಜಿಸುವ ಅನುಮತಿಯಲ್ಲ, ಮತ್ತು ಪ್ರತಿ ಶಾಖಾ LAN ಸಾಗಿಸುವ ಒಂದೇ ಸುರಂಗ ಮುಂದಿನ ನಿರ್ವಹಣಾ ವಿಂಡೋವನ್ನು ಅಡಚಣೆಯಾಗಿ ಮಾಡುತ್ತದೆ.
ಸಂಧಾನವಾದ ಸೆಲೆಕ್ಟರ್ಗಳು, ಎರಡು ಪ್ರಿಫಿಕ್ಸ್ಗಳು ಮತ್ತು ಮಾರ್ಗ ಮಾಲೀಕರನ್ನು ಒಂದೇ ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯಿರಿ. ಮೂರನೇ LAN ಬಂದಾಗ, ಆ ದಾಖಲೆ ನೀವು ಸೆಲೆಕ್ಟರ್ ಸೇರಿಸುತ್ತಿದ್ದೀರಾ ಅಥವಾ ಹೊಸದಾಗಿ ಪ್ರಾರಂಭಿಸುತ್ತಿದ್ದೀರಾ ಎಂದು ಹೇಳುತ್ತದೆ.