AWS VPN: lokalen an entfernten CIDR - wéi eng Säit ass wéi eng?

Dir öffnet d'Optioune vum Site-to-Site VPN, gesitt zwou CIDR-Këschten mat de Labelen lokal an entfernt, a gräift no der Adress, déi Dir als lokal ugesitt: de VPC. Dat ass d'Géigendeel vun deem, wat d'API mengt. An den Uschlossoptiounen nennt LocalIpv4NetworkCidr d'Klientsgateway-Säit an RemoteIpv4NetworkCidr d'AWS-Säit, well den Uschloss vum Klientsgateway aus gebaut gëtt. D'Konsole seet dat ni haart, an näischt refuséiert en iwwerzeegend ausgesinnene Tausch.

Fänkt beim API-Uriff un, net beim Konsol-Label

Liest d'Referenz vun den Uschlossoptiounen eng Kéier ganz duerch a mierkt, datt all Optioun aus der Siicht vum Klientsgateway geschriwwe gëtt. Dat ass keng Zoufall vun der Benennung. Den Tunnel gëtt sou beschriwwen, wéi en dem Apparat erschéngt, deen en op Ärer Säit terminéiert, also lokal heescht dat Netz hannert Ärem Gateway an entfernt dat Netz hannert dem AWS-Gateway. Béid IPv4- an IPv6-Felder follegen déi selwecht Regel.

Schreift déi zwou Etiketten op e Sticky-Notiz, ier Dir eppes tippt: Klientssäit, AWS-Säit. Da passt Är Adressen dozou un.

En duerchgerechent Beispill mat de Rollen

Stellt Iech vir, de lokale Prefix ass 10.20.0.0/16 an de VPC-Prefix ass 10.60.0.0/16. D'Optioune liesen sech genee sou, wéi d'Rollen et uginn, mam lokalen Beräich am lokale Feld:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Gitt elo déiselwecht Pair un déi Persoun, déi de Peer-Apparat konfiguréiert, a kuckt wéi d'Fal zouklappt. Bei ville Firewalls heescht lokal d'Interface, op där den Tunnel terminéiert, an entfernt dat wäit Enn, wat fir d'AWS-Säit déi ëmgedréint Zouuerdnung ass. Béid Leit kënnen Recht hunn an trotzdem en Tunnel produzéieren, deen ni fäerdeg gëtt, well déi zwou Vokabulären ënnerschiddlech Endpunkte beschreiwen.

Widderhëlt d'Übung op Pabeier an der Terminologie vum Peer, mat béide CIDR an béiden Etiketten, ier een Apparat beréiert gëtt.

Standardwäerter sinn keen Design

Déiselwecht Referenz listet 0.0.0.0/0 als Standard fir béid IPv4-Felder, mat analoge Wäerter fir IPv6. Dës Wäerter an engem bestoenden Uschloss ze gesinn, seet Iech, datt d'Feld ni ageschränkt gouf, an net, datt en Internetausgang konfiguréiert ass. D'Verdeelung vun de Weeër, d'Weeër-Tabell vum Subnetz an d'Sécherheetskontrollen entscheeden nach ëmmer, wéi ee Verkéier wierklech ka passéieren; d'CIDR-Wäerter beschreiwen nëmmen, wéi eng Beräicher den Tunnel bereet ass auszewielen.

En enke Wäert duerch den Standard z'ersetzen ass dofir keen Kompatibilitéitstrick, deen een uwende kann, wann en Tunnel sech schlecht behuelt. Et mécht de Selekter méi breet an hält all aner Schicht genee sou wéi se war.

De Peer-Apparat benotzt déi aner Siicht

Wann d'AWS-Säit kloer ass, läit de gréissten Deel vum Rescht vun der Verwiirung an der Peer-Konfiguratioun. En Apparat, deen en lokalen Netz an en entfernten Netz freet, beschreift seng eege Interface als lokal, also geet Äre VPC-Beräich a säi entfernt Feld an Äre lokale Beräich a säi lokal Feld. Freet en dogéint Verkéiersselekteren a Pären, schreift Dir béid Richtungen ausdrécklech an d'Etiketten zielen manner wéi d'Pairung.

Liest d'Feldhëllef vum Apparat an net seng Feldnimm. Hiersteller benotzen déiselwecht zwee Wierder fir dräi verschidde Konzepter.

Kuckt duerno den Tunnelstatus fir béid Phase, well en net passende Selekter sech meeschtens als Feeler an der zweeter Phase weist, während déi éischt Phase roueg etabléiert bleift.

Ännert d'Optiounen wéi eng Ännerung, net wéi eng Dokumentatioun

D'Bearbechte vun Uschlossoptiounen op engem aktive VPN kann den Déngscht ënnerbriechen, also behandelt et als Maintenance-Aktioun mat engem Fenster, engem Réckrollwäert an enger Notiz, wien et betrëfft. Hält d'aktuell Optiounen als éischt fest, inklusiv béid CIDR-Felder an d'Tunneloptiounen, sou datt en Zréckrollen e Paste ass an net en Neiopbau.

No der Ännerung iwwerpréift vun der AWS-Säit an vum Peer: eng Quell an all Beräich, déi en Zil an deem aneren erreecht, a béid Richtungen. Een eenzegen Ping vun enger Säit beweiseen een eenzegen Selekter.

Aktualiséiert duerno d'Uschlossdokumentatioun mat de Rollen ausgeschriwwen, sou datt déi nächst Persoun net erëm entdecke muss, datt lokal Är Säit heescht.