Бир AWS VPN туннелиндеги бир нече LAN: SA чеги эмнени билдирет
AWS ар бир туннелге бир IPsec SA жупун уруксат берет жана бул бир ички тармактын чеги эмес. Алгач коргоо аймагын маршруттоодон жана кирүүдөн бөлүңүз.
AWS Site-to-Site VPN ге экинчи филиал LAN кошуу ошол туннелдин ичинде экинчи көз карандысыз IPsec бирикмесин талап кылбайт. Адамдар чалынган чек чыныгы, бирок угулгандан тар: AWS документтештирет ар бир туннелге бир уникалдуу IPsec SA жупун, бири кирүүчү жана бири чыгуучу, жана бир туташуудагы эки туннел ар бири өз жупун алат. Бул кызматтын касиети, IPsec бир убакта бир ички тармакты коргойт деген эреже эмес. Айырма эң маанилүү болгондо, саясатка негизделген кардар дарбазасы ар бир саясат жазуусун өз бирикмесине айландырат.
LAN тизмесинен эмес, туташуудан баштаңыз
Консолдон туташууну ачып, анын кантип маршрутталарын байкаңыз. Статикалык туташуу сиз жарыялаган алыскы префикстерди ташыйт. BGP туташуусу аларды кардар дарбазасынан үйрөнөт.
Кандай болбосун, туннель маршрутка негизделген. Ага эмне кирерин түзмөгүңүз сүйлөшкөн селекторлор аныктайт, формага терүүгө болгон ички тармактардын саны эмес.
Кардар дарбазасы эмне жөнүндө сүйлөшкөнүн көзөмөлдөңүз
Саясатка негизделген түзмөк ар бир саясат жазуусун өз SA кылып өзгөртө алат. Эки LAN эки жазууну билдирет, бул эки SA дегендик, жана ушул жерде туннелге карата чек маанилүү боло баштайт. Кардар дарбазасынын талаптары так ушундай жүрүм-турум жөнүндө эскертишет жана ошол түзмөктөрдө бириктирилген эрежелерди сунушташат. Түзмөктөгү ACL санын эмес, сүйлөшүлгөн селекторлорду текшериңиз.
Түзмөк эки префиксти бир саясаттын алдында көрсөтүүгө конфигурацияланышы керек, болбосо карама-каршы тарап натыйжаны кармай албайт.
Үч тизме, өзүнчө кармалган
Бул үч тизмени аралаштырыңыз, ошондо ар бир өзгөрүү божомолго айланат. Аларды өзүнчө мамычалар катары кармап, ар бирин өз тармагыңыз үчүн толтуруңуз.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
SA чеги менен ортоңку мамыча гана чектелген. Биринчи мамыча бизнес фактысы, ал эми үчүнчүсү колдонмону иштетүүчү нерсе. Түзмөктөгү кабыл алынган селекторлорду окуңуз, жазган ACL саптарынын санынан камтууну божомолдоонун ордуна.
Уруксатты кеңейтпей бириктириңиз
Жыйынтык маршрут бир саясат жазуусун алуунун ачык жолу, ошондой эле корголгон топтомдун тынч өсүү жолу. Эки /24 камтыган /20 эч бир филиал колдонбогон даректерди да камтыйт, жана туннель аларды кубаныч менен ташыйт. Эгер жыйынтыктоо керек болсо, аны кабыл алуучу тараптагы фильтрлөө менен айкалыштырыңыз, ошондо кошумча мейкиндик жөн гана жарыяланбай калбай, четке кагылат. Четке кагылган пакет далил. Жарыяланбаган дарек далилдин жоктугу гана.
Коргоо саясатын бириктирүү шифрлене турган нерсенин өзгөрүүсү. Бул кирүү укугун берүү эмес жана ошондой каралбашы керек.
Эки LANды сынап көрүңүз, анан эки туннелди тең сактаңыз
Шайкеш келтирилген өзгөрүүдөн кийин активдүү коргоо аймагын текшерип, анан ар бир LANдан чыныгы колдонмону иштетиңиз. Бир ички тармактын иштеши экинчисинин селекторлорунун камтуусу жөнүндө эч нерсени далилдебейт, анын жооп жолу жөнүндө андан да аз.
Долбоордо эки туннелди тең сактаңыз. Саясатты бириктирүү ашыкчалыктан баш тартууга уруксат эмес, ал эми ар бир филиал LANын ташыган бир туннель кийинки тейлөө терезесин үзгүлтүккө айландырат.
Сүйлөшүлгөн селекторлорду, эки префиксти жана маршрут ээлерин бир өзгөрүү жазуусуна жазыңыз. Үчүнчү LAN келгенде, бул жазуу сизге селектор кошуп жатканыңызды же башынан баштап жатканыңызды айтат.