Méi LANen op engem AWS VPN-Tunnel: wat d'SA-Limit bedeit
AWS erlaabt eng IPsec-SA-Paar pro Tunnel, an dat ass keng Limit vun engem eenzege Subnet. Trennt éischt de Schutzberäich vum Routing an dem Zougang.
En zweet Branch-LAN zu engem AWS Site-to-Site VPN derbäi ze setzen erfuerdert keng zweet onofhängeg IPsec-Associatioun bannen an deem Tunnel. D'Limit, iwwer dat d'Leit stolperen, ass real, awer méi enk wéi et kléngt: AWS dokumentéiert eng eenzeg IPsec-SA-Paar pro Tunnel, eng erakommend an eng erausgoend, an déi zwee Tunnelen an enger Verbindung kréien all hir eege Paar. Dat ass eng Eegeschaft vum Service, net eng Regel, datt IPsec ee Subnet op eemol schützt. Den Ënnerscheed ass am wichtegsten, wann en policybaséierte Client-Gateway all Policy-Andréit an eng eege Associatioun ëmwandelt.
Fänkt mat der Verbindung un, net mat der LAN-Lëscht
Maacht d'Verbindung an der Konsole op a bemerkt, wéi se gerout gëtt. Eng statesch Verbindung dréit déi ferne Prefixen, déi Dir deklaréiert hutt. Eng BGP-Verbindung léiert se vum Client-Gateway.
Wéi och ëmmer, den Tunnel ass routebaséiert. Wat eran geet, entscheeden d'Selektoren, déi Ären Apparat verhandelt, net d'Zuel vun de Subnetzen, déi Dir an engem Formulaire tippe kënnt.
Passt op, wat de Client-Gateway verhandelt
En policybaséierten Apparat kann all Policy-Andréit an en eegene SA ëmwandelen. Zwee LANen heescht zwee Andréit, dat heescht zwee SAen, an do fänkt d'Limit pro Tunnel un ze zielen. D'Ufuerderunge vum Client-Gateway warnen genau virun dësem Verhalen a proposéieren konsolidéiert Reegelen op deenen Apparaten. Iwwerpréift déi verhandelt Selektoren anstatt d'Zuel vun den ACLen op der Këscht.
Den Apparat muss sou konfiguréiert sinn, datt en déi zwee Prefixen ënner enger eenzeger Policy presentéiert, soss kann déi wäit Enn d'Resultat einfach net halen.
Dräi Inventairen, getrennt gehal
Mëscht dës dräi Lëschten a jiddwer Ännerung gëtt eng Vermutung. Hält se als getrennte Kolonnen a fëllt jiddwereng fir Ären eegene Reseau aus.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Nëmmen déi mëttelst Kolonn ass duerch d'SA-Limit limitéiert. Déi éischt Kolonn ass eng Geschäftsfakt, an déi drëtt ass dat, wat eng Applikatioun funktionéiere léisst. Liest déi akzeptéiert Selektoren um Apparat anstatt d'Ofdeckung aus der Zuel vun den ACL-Zeilen ofzeleeden, déi Dir geschriwwen hutt.
Konsolidéiert ouni d'Erlaagnis auszebreeden
Eng Zesummefaassungsroute ass den offensichtleche Wee fir eng eenzeg Policy-Andréit ze kréien, an et ass och de Wee, wéi e geschützte Set stëll wächst. En /20, deen déi zwee /24 deckt, deckt och Adressen, déi weder deen een nach deen aneren Branch benotzt, an den Tunnel drot se gär. Wann Dir musst zesummefaassen, paart et mat Filterung op der Empfangssäit, sou datt de zousätzleche Raum ofgeleent gëtt an net just net ugekënnegt. E refuséierte Paket ass Beweis. Eng net ugekënnegt Adress ass just d'Fehlen vum Beweis.
D'Schutzpolitik ze konsolidéieren ass eng Ännerung vun deem, wat verschlësselt ka ginn. Et ass keng Erlaagnis vum Zougang an et soll net esou behandelt ginn.
Test béid LANen a behält dann béid Tunnelen
No enger koordinéierter Ännerung iwwerpréift de aktive Schutzberäich an exercéiert dann eng richteg Applikatioun vun all LAN. Datt een Subnet funktionéiert beweist näischt iwwer d'Selektorofdeckung vum zweeten, a nach manner iwwer säi Äntwertswee.
Behält béid Tunnelen am Design. D'Politik ze konsolidéieren ass keng Erlaagnis fir Redundanz ze verwerfen, an een eenzegen Tunnel, deen all Branch-LAN dréit, mécht déi nächst Maintenance-Fënster zu enger Stéierung.
Schreift déi verhandelt Selektoren, déi zwee Prefixen an d'Routebesëtzer an déiselwecht Ännerungsopzeechnung. Wann en drëtte LAN kënnt, seet Iech déi Opzeechnung, ob Dir e Selektor bäisetzt oder vun uewen ufänkt.