AWS Site-to-Site VPN: dobaussen, dobannen an de LAN-Prefix

Dräi Adressrollen verwierfen sech op engem AWS VPN: d'Aussenpeeren, déi intern /30-Verbindung an déi geschützt LAN-Prefixen. Liest se aus der erofgeluedener Konfiguratioun.

Déi meescht Feeler beim AWS Site-to-Site VPN si Adressfeeler, an si gi gemaach ier sech en eenzege Pak beweegt. D'Aussenadresse vum Tunnel erreechen d'IPsec-Peeren, d'Innenadressen bilden d'Routing-Verbindung tëschent hinnen, an déi geschützt Prefixe sinn de Grond fir déi Verbindung. Kopéiert eng Roll an déi aner an den Tunnel geet op, wärend näischt geroutet gëtt. Hei ass d'Reiefolleg Liesen-Prüfen-Konfiguréieren, déi ech op engem BGP-Customer-Gateway benotzen, an d'Wäerter kommen aus der erofgeluedener Gerätekonfiguratioun an net aus dem Gedächtnis.

Dräi Adressrollen, een Tunnel

D'Aussenadresse sinn ëffentlech a gehéieren den IPsec-Peeren: eng pro Tunnel op der AWS-Säit, an d'erreechbar Identitéit vum Customer Gateway op Ärer Säit, ugepasst un dat NAT-Arrangement, dat Dir tatsächlech hutt. D'Innenadresse si privat a gehéieren der logescher Verbindung, déi AWS als /30 dokumentéiert, aus 169.254.0.0/16 geholl. Déi geschützt Prefixe sinn d'VPC-, lokal oder Transit-Netzwierker, déi Dir iwwer déi Verbindung rout an annoncéiert.

E LAN-Prefix als Adress vum Tunnelinterface ze ginn ass déi klassesch Versioun vun dësem Feeler. Den Interface gesäit konfiguréiert aus, de LAN gëtt net annoncéiert, an déi aner Säit huet keng Route dofir. Den Tunnel kann dokter säin eegenen internen Ping bestoen, wärend all Applikatiounsnumm an en Timeout leeft. D'Referenz vun den Tunneloptiounen listet d'Aschränkunge vum internen CIDR op, dorënner de Beräich vun Adressen, aus deem en musse kommen.

Liest d'Wäerter aus der erofgeluedener Konfiguratioun

Luet d'Konfiguratioun fir Ären konkreten Apparatemodell aus der Verbindung erof, an behandelt duerno seng Adresstabell als Quell vun der Wourecht. D'Konsole weist déi selwecht Wäerter pro Tunnel: Aussen-IP, internen CIDR an d'BGP-Peeradress op der AWS-Säit. Déi zwou Tunnen sinn getrennt Objeten mat getrennten Aussenendpunkten a getrennten internen /30, och wann béid déi selwecht geschützt Netzwierker droen.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Wann déi erofgeluede Fichier an d'Live-Konsole net iwwerenee stëmmen, ass de Fichier veralt. Luet en nach emol erof, amplaz Adressen vun Hand ze änneren, well eng Ofwäichung tëschent dem internen Paar an dem konfiguréierte Noper vum Peer e stille BGP-Feeler ass.

Baut d'Verbindung mat der richteger Adress drop

Op engem Linux-Gateway ass den Tunnel en VTI- oder XFRM-Interface, an den internen /30 kënnt op deen Interface. Zwee Tunnen heescht zwee Interfaces an zwee BGP-Noperen, ee pro AWS-Endpunkt. D'Konventioun, déi AWS an der erofgeluedener Gerätekonfiguratioun dréckt, setzt de virtuelle private Gateway op déi éischt Adress vun all internen /30 an Äre Customer Gateway op déi zweet, sou datt Dir déi méi héich Adress hëlt an mat der méi niddereger peert. Näischt hei brauch eng LAN-Adress.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Wann de Fichier fir Ären Apparatemodell dat ëmgedréit Paar dréckt, benotzt seng Zuelen a halt d'Regel: d'Adress um Interface ass Är, d'Peeradress gehéiert AWS. Et ëmgedréit ze maachen ergëtt en Tunnel, deen ni Established erreecht, well den Noper, deen Dir konfiguréiert hutt, d'Adress ass, déi Ären eegenen Interface schonn huet.

Halt de Mark an de VTI-Schlëssel am Glach mat deem, wat den IKE-Daemon benotzt fir eng Child-SA un den Interface ze bannen, soss komm Verkehr um Tunnel un ouni Interface fir ze landen. Prüft d'MTU géint de Wee a géint dem IKE-Daemon seng eege Astellungen, amplaz eng Zuel vun enger anerer Säit ze kopéieren.

Prüft BGP ier Dir d'Routen prüft

Datt IPsec eropkënnt beweist, datt d'Peeren iwwer eng Sécherheetsassociatioun eens sinn an näischt anescht. D'BGP-Sessioun ass eng separat Verhandlung iwwer d'intern Verbindung, sou datt Dir den Noperstatus an d'Prefixzähler liest an se duerno mat deem vergläicht, wat Dir annoncéiere wëllt.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Den Zoustand Established mat null empfangene Prefixen ass e Politik- oder Annonciementsproblem, keen Tunnelproblem. Widderholl déi ganz Prüfung um zweeten Tunnel; en éischten Tunnel dee funktionéiert seet Iech, datt d'Adressen plausibel sinn, net datt den zweeten Tunnel iwwerhaapt konfiguréiert gouf.

Verfollegt e geroutete Pak, an dann hält op

Soubal d'Sessioun d'Prefixen dréit, test d'Route a béid Richtungen vum Gateway: Quelladress, nächsten Hop an d'Sécherheetspolitik déi den Traffic erlaabt. Eng BGP-Sessioun kann uewen sinn, wärend dee konkrete Prefix, deen Är Applikatioun brauch, gefiltert, zesummegefaasst oder op den falschen Interface gezilt gëtt.

Reachability Analyzer ass de Werkzeug op der AWS-Säit, dat eng Quell, en Zil an e Wee hëlt an bericht, wéi eng Komponent an enger ënnerstëtzter Konfiguratioun en blockéiert huet. Benotzt en, fir de Wee vun der VPC bis zur Adress vun Ärem Customer Gateway ze testen, an net vun engem Applikatiounshost. Et analyséiert Konfiguratioun an schéckt kee Pak duerch eng lokal Firewall, sou datt Dir säin Urteel getrennt vun Ären eegenen Interfacezähler a Paksopname hält.

Schreift d'Aussepaar, den internen /30 an déi annoncéiert Prefixen pro Tunnel an eng Tabell. Déi Tabell ass et, déi déi nächst Ännerung iwwerpréifbar mécht.

Ähnlech Artikelen