Локален и оддалечен CIDR во AWS VPN: која страна е која?

Ги отворате опциите на Site-to-Site VPN, гледате две полиња CIDR означени како локално и оддалечено и посегнувате по адресата што ја сметате за локална: VPC. Тоа е обратното од она што го мисли API. Во опциите за врска, LocalIpv4NetworkCidr ја именува страната на клиентската порта, а RemoteIpv4NetworkCidr страната на AWS, бидејќи врската се гради од клиентската порта. Конзолата никогаш не го кажува тоа гласно и ништо не одбива веродостојна замена.

Започнете од повикот на API, не од етикетата во конзолата

Прочитајте ја референцата за опциите за врска еднаш целосно и забележете дека секоја опција е напишана од гледна точка на клиентската порта. Тоа не е случајност во именувањето. Тунелот се опишува како што изгледа на уредот што го завршува на вашата страна, па локално значи мрежата зад вашата порта, а оддалечено мрежата зад портата на AWS. И полињата IPv4 и IPv6 го следат истото правило.

Напишете ги двете етикети на леплива белешка пред да внесете нешто: страна на клиентот, страна на AWS. Потоа поставете ги вашите адреси на нив.

Разработен пример со улогите

Да претпоставиме дека локалниот префикс е 10.20.0.0/16, а префиксот на VPC е 10.60.0.0/16. Опциите се читаат точно како што сугерираат улогите, со локалниот опсег во локалното поле:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Сега дајте го истиот пар на оној што го конфигурира партнерскиот уред и гледајте како стапицата се активира. На многу огнени ѕидови, локално значи интерфејсот на кој завршува тунелот, а оддалечено значи далечниот крај, што е обратно мапирање за страната на AWS. И двајцата можат да бидат во право и пак да создадат тунел што никогаш не се воспоставува, бидејќи двата речника опишуваат различни крајни точки.

Повторете ја вежбата на хартија со терминологијата на партнерот, со двата CIDR и двете етикети, пред да допрете кој било уред.

Стандардните вредности не се дизајн

Истата референца го наведува 0.0.0.0/0 како стандардна вредност за двете полиња IPv4, со аналогни вредности за IPv6. Гледањето на тие вредности во постоечка врска ви кажува дека полето никогаш не било стеснето, а не дека е конфигуриран излез кон интернет. Распределбата на маршрути, табелата со маршрути на подмрежата и безбедносните контроли сè уште одлучуваат кој сообраќај навистина може да помине; вредностите CIDR само опишуваат кои опсези тунелот е подготвен да ги избере.

Затоа замената на потесна вредност со стандардната не е трик за компатибилност што се применува кога тунелот се однесува погрешно. Ја проширува селекторот и го остава секој друг слој точно како што бил.

Партнерскиот уред го користи другиот поглед

Кога страната на AWS е јасна, конфигурацијата на партнерот е местото каде што живее најголемиот дел од преостанатата конфузија. Уред што бара локална мрежа и оддалечена мрежа го опишува сопствениот интерфејс како локален, па вашиот опсег на VPC оди во неговото оддалечено поле, а вашиот локален опсег во неговото локално поле. Ако наместо тоа бара селектори на сообраќај во парови, вие ги пишувате двата правци експлицитно и етикетите се помалку важни од спарувањето.

Читајте ја помошта за полињата на уредот, а не имињата на полињата. Производителите ги користат истите два збора за три различни поими.

Потоа проверете ја состојбата на тунелот за двете фази, бидејќи неусогласен селектор обично се појавува како неуспех во втората фаза, додека првата фаза останува мирно воспоставена.

Менувајте ги опциите како промена, а не како документација

Уредувањето на опциите за врска на активен VPN може да го прекине сервисот, затоа третирајте го како одржувачка активност со прозорец, вредност за враќање и забелешка за кого се однесува. Прво запишете ги тековните опции, вклучувајќи ги двете полиња CIDR и опциите за тунелот, за враќањето да биде лепење, а не повторно градење.

По промената, проверете од страната на AWS и од партнерот: извор во секој опсег што стигнува до одредиште во другиот, во двете насоки. Еден ping од една страна докажува еден селектор.

Потоа ажурирајте ја документацијата за врската со изпишани улоги, за следниот човек да не мора повторно да открие дека локално значи вашата страна.