Повеќе LAN на еден AWS VPN тунел: што значи ограничувањето SA
AWS дозволува еден пар IPsec SA по тунел, и тоа не е ограничување на една подмрежа. Прво одвојте го опфатот на заштита од рутирањето и пристапот.
Додавањето на втор LAN на огранок на AWS Site-to-Site VPN не бара втора независна IPsec асоцијација во тој тунел. Ограничувањето на кое луѓето се сопнуваат е реално, но потесно отколку што звучи: AWS документира еден единствен пар IPsec SA по тунел, еден влезен и еден излезен, и двата тунели во една врска добиваат секој свој пар. Тоа е својство на услугата, а не правило дека IPsec штити една подмрежа истовремено. Разликата е најважна кога порта на клиент заснована на политики ја претвора секоја ставка од политиката во сопствена асоцијација.
Започнете со врската, не со списокот LAN
Отворете ја врската во конзолата и забележете како се рутира. Статичната врска ги носи оддалечените префикси што сте ги објавиле. BGP врската ги учи од портата на клиентот.
Како и да е, тунелот е заснован на рути. Што влегува во него го одредуваат селекторите што ги договара вашиот уред, а не бројот на подмрежи што можете да ги внесете во формулар.
Гледајте што договара портата на клиентот
Уред заснован на политики може да ја претвори секоја ставка од политиката во сопствен SA. Две LAN значат две ставки, што значи два SA, и тука ограничувањето по тунел почнува да има значење. Барањата за портата на клиентот предупредуваат токму за овој однос и предлагаат обединети правила на тие уреди. Проверете ги договорените селектори, а не бројот на ACL на уредот.
Уредот мора да биде конфигуриран да ги претстави двата префикса под една политика, инаку спротивната страна едноставно не може да го задржи резултатот.
Три инвентари, чувани одделно
Помешајте ги овие три списоци и секоја промена станува претпоставка. Чувајте ги како одделни колони и пополнете ја секоја за вашата мрежа.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Само средната колона е ограничена од лимитот SA. Првата колона е деловен факт, а третата е тоа што ја прави апликацијата функционална. Читајте ги прифатените селектори на уредот наместо да изведувате покриеност од бројот на напишаните ACL линии.
Обединете без проширување на дозволата
Резимираната рута е очигледниот начин да се добие една ставка од политиката и тоа е и начинот на кој заштитеното множество тивко расте. /20 што ги покрива двете /24 покрива и адреси што ниту еден огранок не ги користи, и тунелот со задоволство ќе ги носи. Ако мора да резимирате, поврзете го со филтрирање на страната што прима, така што дополнителниот простор ќе биде одбиен, а не само необјавен. Одбиен пакет е доказ. Необјавена адреса е само отсуство на доказ.
Обединувањето на заштитната политика е промена на она што смее да се шифрира. Тоа не е давање пристап и не треба така да се третира.
Тестирајте ги двете LAN и потоа задржете ги двата тунели
По координирана промена проверете го активниот опфат на заштита и потоа извршете вистинска апликација од секоја LAN. Работењето на една подмрежа не докажува ништо за покриеноста на селекторите на втората, а уште помалку за нејзината повратна патека.
Задржете ги двата тунели во дизајнот. Обединувањето на политиката не е дозвола да се отфрли вишокот, а еден тунел што го носи секој огранок LAN го прави следниот прозорец за одржување прекин.
Запишете ги договорените селектори, двата префикса и сопствениците на рутите во истиот запис за промена. Кога ќе дојде трет LAN, тој запис ќе ви каже дали додавате селектор или почнувате одново.