Vairāki LAN vienā AWS VPN tunelī: ko nozīmē SA ierobežojums
AWS atļauj vienu IPsec SA pāri vienam tunelim, un tas nav vienas apakštīkla ierobežojums. Vispirms atdaliet aizsardzības apjomu no maršrutēšanas un piekļuves.
Otra atzara LAN pievienošana AWS Site-to-Site VPN neprasa otru neatkarīgu IPsec asociāciju šajā tunelī. Ierobežojums, uz kura cilvēki pakrīt, ir reāls, bet šaurāks, nekā izklausās: AWS dokumentē vienu unikālu IPsec SA pāri vienam tunelim, vienu ienākošu un vienu izejošu, un abi viena savienojuma tuneļi katrs iegūst savu pāri. Tā ir pakalpojuma īpašība, nevis noteikums, ka IPsec aizsargā vienu apakštīklu vienlaikus. Atšķirība ir vissvarīgākā, kad uz politiku balstīta klienta vārteja katru politikas ierakstu pārvērš savā asociācijā.
Sāciet ar savienojumu, nevis ar LAN sarakstu
Atveriet savienojumu konsolē un ievērojiet, kā tas tiek maršrutēts. Statisks savienojums pārnēsā jūsu deklarētos attālos prefiksus. BGP savienojums tos apgūst no klienta vārtejas.
Lai kā arī būtu, tunelis ir balstīts uz maršrutiem. Ko tajā liek, nosaka selektori, par kuriem vienojas jūsu ierīce, nevis apakštīklu skaits, ko varat ierakstīt veidlapā.
Vērojiet, par ko vienojas klienta vārteja
Uz politiku balstīta ierīce var pārvērst katru politikas ierakstu savā SA. Divi LAN nozīmē divus ierakstus, tas nozīmē divus SA, un šeit tuneļa ierobežojums sāk būt svarīgs. Klienta vārtejas prasības brīdina tieši par šādu uzvedību un iesaka apvienotus noteikumus šajās ierīcēs. Pārbaudiet vienotos selektorus, nevis ACL skaitu ierīcē.
Ierīcei jābūt konfigurētai tā, lai tā uzrādītu abus prefiksus vienas politikas ietvaros, pretējā gadījumā pretējā puse vienkārši nevarēs noturēt rezultātu.
Trīs inventarizācijas, turētas atsevišķi
Sajaucot šos trīs sarakstus, katras izmaiņas kļūst par minējumu. Turiet tos kā atsevišķas kolonnas un aizpildiet katru savam tīklam.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Tikai vidējo kolonnu ierobežo SA limits. Pirmā kolonna ir biznesa fakts, un trešā ir tas, kas liek lietojumprogrammai darboties. Lasiet ierīcē pieņemtos selektorus, tā vietā lai secinātu pārklājumu no rakstīto ACL rindu skaita.
Apvienojiet, nepaplašinot atļauju
Kopsavilkuma maršruts ir acīmredzamais veids, kā iegūt vienu politikas ierakstu, un tas ir arī veids, kā aizsargātā kopa klusi aug. /20, kas aptver abus /24, aptver arī adreses, ko neizmanto neviens atzars, un tunelis labprāt tās pārnēsās. Ja jums ir jāapkopo, saistiet to ar filtrēšanu saņēmēja pusē, lai papildu telpa tiktu noraidīta, nevis vienkārši neizziņota. Noraidīta pakete ir pierādījums. Neizziņota adrese ir tikai pierādījuma trūkums.
Aizsardzības politikas apvienošana ir izmaiņas tajā, ko drīkst šifrēt. Tā nav piekļuves piešķiršana, un pret to nevajadzētu izturēties kā pret tādu.
Pārbaudiet abus LAN un pēc tam saglabājiet abus tuneļus
Pēc saskaņotām izmaiņām pārbaudiet aktīvo aizsardzības apjomu un pēc tam palaidiet reālu lietojumprogrammu no katra LAN. Viena apakštīkla darbība neko nepierāda par otrā selektoru pārklājumu, un vēl mazāk par tā atbildes ceļu.
Saglabājiet abus tuneļus projektā. Politikas apvienošana nav atļauja atteikties no dublēšanas, un viens tunelis, kas pārnēsā katra atzara LAN, padara nākamo apkalpošanas logu par pārtraukumu.
Ierakstiet vienotos selektorus, abus prefiksus un maršrutu īpašniekus tajā pašā izmaiņu ierakstā. Kad ieradīsies trešais LAN, šis ieraksts pateiks, vai pievienojat selektoru vai sākat no jauna.