하나의 AWS VPN 터널에 여러 LAN: SA 한도의 의미

AWS Site-to-Site VPN에 두 번째 지사 LAN을 추가한다고 해서 그 터널 안에 두 번째 독립 IPsec 연결이 필요한 것은 아닙니다. 사람들이 걸려 넘어지는 한도는 실재하지만 들리는 것보다 좁으며, AWS는 터널당 하나의 고유한 IPsec SA 쌍을 문서화하며, 인바운드 하나와 아웃바운드 하나이고, 한 연결의 두 터널은 각각 자기 쌍을 받습니다. 그것은 서비스의 속성이지 IPsec이 한 번에 하나의 서브넷을 보호한다는 규칙이 아닙니다. 이 구분은 정책 기반 고객 게이트웨이가 각 정책 항목을 자체 연결로 바꿀 때 가장 중요합니다.

LAN 목록이 아니라 연결부터 시작하십시오

콘솔에서 연결을 열고 어떻게 라우팅되는지 확인하십시오. 정적 연결은 선언한 원격 프리픽스를 전달합니다. BGP 연결은 고객 게이트웨이에서 이를 학습합니다.

어느 쪽이든 터널은 경로 기반입니다. 그 안으로 무엇이 들어가는지는 장치가 협상하는 선택자가 결정하며, 양식에 입력할 수 있는 서브넷 수가 결정하지 않습니다.

고객 게이트웨이가 무엇을 협상하는지 지켜보십시오

정책 기반 장치는 모든 정책 항목을 자체 SA로 바꿀 수 있습니다. 두 LAN은 두 항목을 뜻하고, 이는 두 SA를 뜻하며, 여기서 터널당 한도가 중요해지기 시작합니다. 고객 게이트웨이 요구 사항 이 바로 이 동작을 경고하고 해당 장치에서 통합 규칙을 제안합니다. 장치의 ACL 수가 아니라 협상된 선택자를 확인하십시오.

장치는 두 프리픽스를 단일 정책 아래에 제시하도록 구성해야 하며, 그렇지 않으면 원격 측이 결과를 유지할 수 없습니다.

세 가지 인벤토리를 분리해 유지

이 세 목록을 섞으면 모든 변경이 추측이 됩니다. 별도의 열로 유지하고 각각을 자신의 네트워크에 맞게 채우십시오.

SA 한도에 제약을 받는 것은 가운데 열뿐입니다. 첫 번째 열은 비즈니스 사실이고, 세 번째 열은 애플리케이션을 작동하게 하는 것입니다. 작성한 ACL 줄 수에서 커버리지를 추론하지 말고 장치에서 허용된 선택자를 읽으십시오.

권한을 넓히지 않고 통합하십시오

요약 경로는 하나의 정책 항목을 얻는 확실한 방법이며, 보호된 집합이 조용히 커지는 방법이기도 합니다. 두 /24를 모두 포함하는 /20은 어느 지사도 사용하지 않는 주소도 포함하며, 터널은 그것들을 기꺼이 전달합니다. 요약해야 한다면 수신 측 필터링과 결합하여 추가 공간이 단지 알리지 않는 것이 아니라 거부되게 하십시오. 거부된 패킷은 증거입니다. 알리지 않은 주소는 단지 증거의 부재입니다.

보호 정책을 통합하는 것은 무엇이 암호화될 수 있는지의 변경입니다. 접근 권한 부여가 아니며 그렇게 취급해서도 안 됩니다.

두 LAN을 모두 테스트한 다음 두 터널을 모두 유지하십시오

조정된 변경 후 활성 보호 범위를 점검한 다음 각 LAN에서 실제 애플리케이션을 실행하십시오. 한 서브넷이 작동한다고 해서 두 번째의 선택자 커버리지가 증명되지 않으며, 응답 경로에 대해서는 더욱 그렇지 않습니다.

설계에 두 터널을 모두 유지하십시오. 정책 통합은 이중성을 버릴 허가가 아니며, 모든 지사 LAN을 전달하는 단일 터널은 다음 유지보수 창을 중단으로 만듭니다.

협상된 선택자, 두 프리픽스, 경로 소유자를 같은 변경 기록에 작성하십시오. 세 번째 LAN이 오면 그 기록이 선택자를 추가하는지 처음부터 다시 시작하는지 알려줍니다.