AWS VPN: lokālais un attālinātais CIDR - kura puse ir kura?

Jūs atverat Site-to-Site VPN opcijas, redzat divus CIDR laukus ar atzīmēm lokālais un attālinātais un sniedzaties pēc adreses, ko uzskatāt par lokālu: VPC. Tas ir pretēji tam, ko nozīmē API. Savienojuma opcijās LocalIpv4NetworkCidr nosauc klienta vārtejas pusi, bet RemoteIpv4NetworkCidr - AWS pusi, jo savienojums tiek būvēts no klienta vārtejas. Konsole to nekad nesaka skaļi, un nekas neatsaka ticami izskatāmu apmaiņu.

Sāciet ar API izsaukumu, nevis konsoles atzīmi

Izlasiet savienojuma opciju uzziņu vienu reizi līdz galam un ievērojiet, ka katra opcija ir rakstīta no klienta vārtejas skatpunkta. Tā nav nosaukumu nejaušība. Tunelis tiek aprakstīts tā, kā to redz ierīce, kas to pabeidz jūsu pusē, tāpēc lokālais nozīmē tīklu aiz jūsu vārtejas, bet attālinātais - tīklu aiz AWS vārtejas. Gan IPv4, gan IPv6 lauki ievēro vienu un to pašu noteikumu.

Pirms kaut ko ierakstāt, uzrakstiet abas atzīmes uz līmlapiņas: klienta puse, AWS puse. Pēc tam piešķiriet tām savas adreses.

Izstrādāts piemērs ar lomām

Pieņemsim, ka lokālais prefikss ir 10.20.0.0/16 un VPC prefikss ir 10.60.0.0/16. Opcijas lasās tieši tā, kā liecina lomas, un lokālais diapazons atrodas lokālajā laukā:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Tagad nododiet to pašu pāri tam, kas konfigurē partnera ierīci, un vērojiet, kā slazds nostrādā. Daudzos ugunsmūros lokālais nozīmē saskarni, kurā beidzas tunelis, bet attālinātais - tālo galu, kas AWS pusei ir pretēja kartēšana. Abi cilvēki var būt pareizi un tomēr izveidot tuneli, kas nekad neizveidojas, jo abas vārdnīcas apraksta dažādus galapunktus.

Atkārtojiet vingrinājumu uz papīra partnera terminoloģijā, ar abiem CIDR un abām atzīmēm, pirms pieskaraties jebkurai ierīcei.

Noklusējuma vērtības nav dizains

Tajā pašā uzziņā 0.0.0.0/0 ir norādīts kā noklusējums abiem IPv4 laukiem, un IPv6 ir līdzīgas vērtības. Redzot šīs vērtības esošā savienojumā, jūs saprotat, ka lauks nekad nav sašaurināts, nevis ka ir konfigurēta interneta izeja. Maršrutu izplatīšana, apakštīkla maršrutu tabula un drošības kontroles joprojām nosaka, kāda satiksme patiešām var pāriet; CIDR vērtības tikai apraksta, kurus diapazonus tunelis ir gatavs atlasīt.

Tāpēc šaurākas vērtības aizstāšana ar noklusējumu nav saderības triks, ko piemērot, kad tunelis darbojas nepareizi. Tas paplašina selektoru un atstāj katru citu slāni tieši tādu, kāds tas bija.

Partnera ierīce izmanto otru skatpunktu

Kad AWS puse ir skaidra, partnera konfigurācija ir vieta, kur mīt lielākā daļa atlikušā apjukuma. Ierīce, kas prasa lokālu tīklu un attālinātu tīklu, savu saskarni apraksta kā lokālu, tāpēc jūsu VPC diapazons nonāk tās attālinātajā laukā, bet jūsu lokālais diapazons - tās lokālajā laukā. Ja tā vietā tā prasa satiksmes selektorus pa pāriem, jūs skaidri rakstāt abus virzienus, un atzīmes nozīmē mazāk nekā sapārošana.

Lasiet ierīces lauku palīdzību, nevis lauku nosaukumus. Ražotāji izmanto tos pašus divus vārdus trim dažādiem jēdzieniem.

Pēc tam pārbaudiet tuneļa stāvokli abām fāzēm, jo nesaskaņots selektors parasti parādās kā otrās fāzes kļūme, kamēr pirmā fāze mierīgi paliek nodibināta.

Mainiet opcijas kā izmaiņas, nevis kā dokumentāciju

Savienojuma opciju rediģēšana aktīvā VPN var pārtraukt pakalpojumu, tāpēc uztveriet to kā apkopes darbību ar logu, atrites vērtību un piezīmi par to, kuru tas skar. Vispirms fiksējiet pašreizējās opcijas, tostarp abus CIDR laukus un tuneļa opcijas, lai atritināšana būtu ielīmēšana, nevis pārbūve.

Pēc izmaiņām pārbaudiet no AWS puses un no partnera: avots katrā diapazonā sasniedz galamērķi otrā, abos virzienos. Viens ping no vienas puses pierāda vienu selektoru.

Pēc tam atjauniniet savienojuma dokumentāciju ar izrakstītām lomām, lai nākamajam cilvēkam nebūtu no jauna jāatklāj, ka lokālais nozīmē jūsu pusi.