Keli LAN viename AWS VPN tunelyje: ką reiškia SA riba
AWS leidžia vieną IPsec SA porą vienam tuneliui, ir tai nėra vieno potinklio riba. Pirmiausia atskirkite apsaugos sritį nuo maršrutizavimo ir prieigos.
Antrojo filialo LAN įtraukimas į AWS Site-to-Site VPN nereikalauja antrosios nepriklausomos IPsec asociacijos tame tunelyje. Riba, už kurios žmonės užkliūva, yra tikra, bet siauresnė, nei skamba: AWS dokumentuoja vieną unikalią IPsec SA porą vienam tuneliui, vieną įeinančią ir vieną išeinančią, o abu vienos jungties tuneliai gauna savo porą. Tai paslaugos savybė, o ne taisyklė, kad IPsec vienu metu saugo vieną potinklį. Skirtumas svarbiausias tada, kai politika pagrįsta kliento tarpinė kiekvieną politikos įrašą paverčia atskira asociacija.
Pradėkite nuo jungties, o ne nuo LAN sąrašo
Atidarykite jungtį konsolėje ir atkreipkite dėmesį, kaip ji maršrutizuojama. Statinė jungtis perneša jūsų deklaruotus nuotolinius prefiksus. BGP jungtis jų išmoksta iš kliento tarpinės.
Bet kokiu atveju tunelis pagrįstas maršrutais. Kas į jį patenka, sprendžia jūsų įrenginio derinami selektoriai, o ne potinklių skaičius, kurį galite įvesti formoje.
Stebėkite, dėl ko derasi kliento tarpinė
Politika pagrįstas įrenginys kiekvieną politikos įrašą gali paversti savo SA. Du LAN reiškia du įrašus, tai reiškia du SA, ir čia tunelio riba pradeda turėti reikšmės. Kliento tarpinės reikalavimai įspėja būtent apie šį elgesį ir siūlo sujungtas taisykles tuose įrenginiuose. Tikrinkite suderėtus selektorius, o ne ACL skaičių įrenginyje.
Įrenginys turi būti sukonfigūruotas pateikti abu prefiksus pagal vieną politiką, kitaip priešinga pusė tiesiog negalės išlaikyti rezultato.
Trys inventorizacijos, laikomos atskirai
Sumaišykite šiuos tris sąrašus ir kiekvienas pakeitimas tampa spėjimu. Laikykite juos atskiromis stulpeliais ir užpildykite kiekvieną savo tinklui.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Tik vidurinis stulpelis ribojamas SA ribos. Pirmasis stulpelis yra verslo faktas, o trečiasis yra tai, kas leidžia programai veikti. Skaitykite priimtus selektorius įrenginyje, užuot išvedę aprėptį iš parašytų ACL eilučių skaičiaus.
Sujunkite neplečiant leidimo
Suvestinis maršrutas yra akivaizdus būdas gauti vieną politikos įrašą, ir tai taip pat būdas, kuriuo saugomas rinkinys tyliai auga. /20, apimantis abu /24, taip pat apima adresus, kurių nenaudoja nė vienas filialas, ir tunelis noriai juos perneš. Jei turite apibendrinti, susiekite tai su filtravimu priėmimo pusėje, kad papildoma erdvė būtų atmetama, o ne tik nepaskelbiama. Atmestas paketas yra įrodymas. Nepaskelbtas adresas yra tik įrodymo nebuvimas.
Apsaugos politikos sujungimas yra pakeitimas to, ką galima šifruoti. Tai nėra prieigos suteikimas ir neturėtų būti taip traktuojama.
Išbandykite abu LAN ir tada išlaikykite abu tunelius
Po suderinto pakeitimo patikrinkite aktyvią apsaugos sritį ir tada paleiskite tikrą programą iš kiekvieno LAN. Vieno potinklio veikimas nieko neįrodo apie antrojo selektorių aprėptį, o juo labiau apie jo atsakymo kelią.
Išlaikykite abu tunelius projekte. Politikos sujungimas nėra leidimas atsisakyti pertekliškumo, o vienas tunelis, pernešantis kiekvieną filialo LAN, paverčia kitą priežiūros langą pertraukimu.
Įrašykite suderėtus selektorius, abu prefiksus ir maršrutų savininkus į tą patį pakeitimo įrašą. Kai atsiras trečias LAN, tas įrašas pasakys, ar pridedate selektorių, ar pradedate iš naujo.