AWS VPN: vietinis ir nuotolinis CIDR – kuri pusė kuri?

Atidarote Site-to-Site VPN parinktis, matote du CIDR laukus su žymomis vietinis ir nuotolinis ir siekiate adreso, kurį laikote vietiniu: VPC. Tai priešingai, nei reiškia API. Ryšio parinktyse LocalIpv4NetworkCidr įvardija kliento šliuzo pusę, o RemoteIpv4NetworkCidr – AWS pusę, nes ryšys statomas iš kliento šliuzo. Konsolė niekada to nesako garsiai, ir niekas neatmeta įtikinamai atrodančio sukeitimo.

Pradėkite nuo API iškvietimo, o ne nuo konsolės žymos

Perskaitykite ryšio parinkčių žinyną vieną kartą iki galo ir pastebėkite, kad kiekviena parinktis parašyta iš kliento šliuzo perspektyvos. Tai ne pavadinimų atsitiktinumas. Tunelis aprašomas taip, kaip jį mato įrenginys, kuris jį užbaigia jūsų pusėje, todėl vietinis reiškia tinklą už jūsų šliuzo, o nuotolinis – tinklą už AWS šliuzo. Tiek IPv4, tiek IPv6 laukai laikosi tos pačios taisyklės.

Prieš ką nors įvesdami, užrašykite dvi žymas ant lipnaus lapelio: kliento pusė, AWS pusė. Tada priskirkite jiems savo adresus.

Išnagrinėtas pavyzdys su vaidmenimis

Tarkime, vietinis prefiksas yra 10.20.0.0/16, o VPC prefiksas – 10.60.0.0/16. Parinktys skaitomos tiksliai taip, kaip siūlo vaidmenys, o vietinis diapazonas yra vietiniame lauke:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Dabar perduokite tą pačią porą tam, kas konfigūruoja partnerio įrenginį, ir stebėkite, kaip suveikia spąstai. Daugelyje ugniasienių vietinis reiškia sąsają, kurioje baigiasi tunelis, o nuotolinis – tolimąjį galą, ir tai AWS pusei yra atvirkštinis susiejimas. Abu žmonės gali būti teisūs ir vis tiek sukurti tunelį, kuris niekada nebus užbaigtas, nes du žodynai aprašo skirtingus galinius taškus.

Pakartokite pratimą popieriuje partnerio terminologija, su abiem CIDR ir abiem žymomis, prieš liesdami bet kurį įrenginį.

Numatytosios reikšmės nėra projektas

Tame pačiame žinyne 0.0.0.0/0 nurodyta kaip numatytoji abiem IPv4 laukams, o IPv6 – analogiškos reikšmės. Matydami šias reikšmes esamame ryšyje suprantate, kad laukas niekada nebuvo susiaurintas, o ne kad sukonfigūruota interneto išvestis. Maršrutų paskirstymas, potinklio maršrutų lentelė ir saugumo kontrolė vis dar nusprendžia, koks srautas iš tikrųjų gali praeiti; CIDR reikšmės tik aprašo, kokius diapazonus tunelis pasiruošęs pasirinkti.

Todėl siauresnės reikšmės pakeitimas numatytąja nėra suderinamumo triukas, kurį galima taikyti, kai tunelis elgiasi netinkamai. Jis praplečia selektorių ir palieka visus kitus sluoksnius tokius, kokie buvo.

Partnerio įrenginys naudoja kitą požiūrį

Kai AWS pusė aiški, partnerio konfigūracija yra vieta, kurioje gyvena didžioji dalis likusios painiavos. Įrenginys, kuris prašo vietinio tinklo ir nuotolinio tinklo, savo sąsają apibūdina kaip vietinę, todėl jūsų VPC diapazonas patenka į jo nuotolinį lauką, o vietinis diapazonas – į jo vietinį lauką. Jei vietoj to jis prašo srauto selektorių poromis, jūs aiškiai rašote abi kryptis, ir žymos reiškia mažiau nei poravimas.

Skaitykite įrenginio laukų pagalbą, o ne laukų pavadinimus. Gamintojai naudoja tuos pačius du žodžius trims skirtingoms sąvokoms.

Tada patikrinkite tunelio būseną abiem fazėms, nes nesutampantis selektorius paprastai pasirodo kaip antrosios fazės gedimas, o pirmoji fazė ramiai išlieka nustatyta.

Keiskite parinktis kaip pakeitimą, o ne kaip dokumentaciją

Ryšio parinkčių redagavimas veikiančiame VPN gali nutraukti paslaugą, todėl traktuokite tai kaip priežiūros veiksmą su laiko langeliu, atkūrimo reikšme ir pastaba, kam tai daro įtaką. Pirmiausia užfiksuokite dabartines parinktis, įskaitant abu CIDR laukus ir tunelio parinktis, kad grąžinimas būtų įklijavimas, o ne perstatymas.

Po pakeitimo patikrinkite iš AWS pusės ir iš partnerio: šaltinis kiekviename diapazone pasiekia paskirties vietą kitame, abiem kryptimis. Vienas ping iš vienos pusės įrodo vieną selektorių.

Tada atnaujinkite ryšio dokumentaciją su išrašytais vaidmenimis, kad kitam žmogui nereikėtų iš naujo atrasti, jog vietinis reiškia jūsų pusę.