AWS VPN의 로컬 CIDR과 원격 CIDR: 어느 쪽이 어느 쪽인가

Site-to-Site VPN 옵션을 열면 로컬과 원격으로 표시된 두 CIDR 상자가 보이고, 로컬이라고 생각하는 주소인 VPC로 손이 갑니다. 그것은 API가 뜻하는 것과 반대입니다. 연결 옵션에서 LocalIpv4NetworkCidr는 고객 게이트웨이 쪽을, RemoteIpv4NetworkCidr는 AWS 쪽을 가리킵니다. 연결이 고객 게이트웨이에서 만들어지기 때문입니다. 콘솔은 이 사실을 소리 내어 말하지 않고, 그럴듯해 보이는 맞바꿈을 막는 것도 없습니다.

콘솔 라벨이 아니라 API 호출에서 시작하십시오

연결 옵션 참조를 한 번 끝까지 읽고, 모든 옵션이 고객 게이트웨이의 관점에서 쓰였음을 알아차리십시오. 이것은 이름 붙이기의 우연이 아닙니다. 터널은 당신 쪽에서 그것을 종료하는 장치에 보이는 대로 설명됩니다. 그래서 로컬은 게이트웨이 뒤의 네트워크, 원격은 AWS 게이트웨이 뒤의 네트워크를 뜻합니다. IPv4와 IPv6 필드 모두 같은 규칙을 따릅니다.

무엇이든 입력하기 전에 두 라벨을 메모지에 적으십시오. 고객 쪽, AWS 쪽. 그다음 주소를 그에 맞춰 배치하십시오.

역할을 붙인 예제

온프레미스 프리픽스가 10.20.0.0/16이고 VPC 프리픽스가 10.60.0.0/16이라고 합시다. 옵션은 역할이 시사하는 그대로 읽히며, 온프레미스 범위는 로컬 필드에 들어갑니다.

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

이제 같은 짝을 피어 장치를 설정하는 사람에게 넘기고 함정이 어떻게 작동하는지 보십시오. 많은 방화벽에서 로컬은 터널이 종료되는 인터페이스, 원격은 먼 쪽을 뜻하며, 이는 AWS 쪽에는 반대되는 매핑입니다. 두 사람 모두 옳아도 결코 완성되지 않는 터널이 만들어질 수 있습니다. 두 어휘가 서로 다른 끝점을 서술하기 때문입니다.

어떤 장치든 건드리기 전에 피어의 용어로 종이 위에서 연습을 반복하십시오. 두 CIDR과 두 라벨을 함께 두고요.

기본값은 설계가 아닙니다

같은 참조는 IPv4 두 필드의 기본값으로 0.0.0.0/0을 제시하고, IPv6에도 비슷한 값이 있습니다. 기존 연결에서 그 값을 본다는 것은 필드가 좁혀진 적이 없다는 뜻이지, 인터넷 출구가 설정되었다는 뜻이 아닙니다. 경로 배포, 서브넷 라우트 테이블, 보안 제어가 실제로 지나갈 수 있는 트래픽을 여전히 결정합니다. CIDR 값은 터널이 어떤 범위를 고를 의사가 있는지만 설명합니다.

그러므로 더 좁은 값을 기본값으로 바꾸는 것은 터널이 잘못 동작할 때 쓰는 호환성 요령이 아닙니다. 선택자를 넓힐 뿐이고 다른 모든 계층은 그대로 둡니다.

피어 장치는 다른 관점을 씁니다

AWS 쪽이 분명해지면 남은 혼란의 대부분은 피어 구성에 있습니다. 로컬 네트워크와 원격 네트워크를 묻는 장치는 자기 인터페이스를 로컬이라고 부릅니다. 그래서 VPC 범위는 그 장치의 원격 필드로, 온프레미스 범위는 로컬 필드로 들어갑니다. 대신 트래픽 선택자를 쌍으로 묻는다면 두 방향을 명시적으로 쓰게 되고, 라벨보다 짝 맞추기가 더 중요해집니다.

장치의 필드 이름이 아니라 필드 도움말을 읽으십시오. 제조사는 같은 두 단어를 세 가지 다른 개념에 재사용합니다.

그다음 두 단계 모두의 터널 상태를 확인하십시오. 맞지 않는 선택자는 보통 두 번째 단계의 실패로 나타나고 첫 번째 단계는 조용히 성립된 채 남습니다.

옵션은 문서가 아니라 변경으로 다루십시오

살아 있는 VPN에서 연결 옵션을 편집하면 서비스가 중단될 수 있으므로, 작업 시간대와 되돌릴 값, 영향을 받는 사람에 대한 메모를 갖춘 유지보수 작업으로 취급하십시오. 먼저 현재 옵션을 두 CIDR 필드와 터널 옵션까지 포함해 기록해 두십시오. 그러면 되돌리기는 재구성이 아니라 붙여넣기가 됩니다.

변경 후에는 AWS 쪽과 피어 쪽 모두에서 확인하십시오. 각 범위의 출발지가 다른 범위의 목적지에 닿는지를 양방향으로 확인합니다. 한쪽에서의 핑 한 번은 선택자 하나만 증명합니다.

마지막으로 역할을 적어 연결 문서를 갱신하십시오. 다음 사람이 로컬이 자기 쪽이라는 사실을 다시 발견하지 않아도 되도록.