ഒരു AWS VPN ടണലിൽ ഒന്നിലധികം LAN: SA പരിധിയുടെ അർത്ഥം
AWS ഓരോ ടണലിനും ഒരു IPsec SA ജോഡി അനുവദിക്കുന്നു, അത് ഒരു സബ്നെറ്റ് പരിധിയല്ല. ആദ്യം സംരക്ഷണ പരിധിയെ റൂട്ടിംഗിൽ നിന്നും ആക്സസിൽ നിന്നും വേർതിരിക്കുക.
AWS Site-to-Site VPN-ലേക്ക് രണ്ടാമത്തെ ബ്രാഞ്ച് LAN ചേർക്കാൻ ആ ടണലിനുള്ളിൽ രണ്ടാമത്തെ സ്വതന്ത്ര IPsec അസോസിയേഷൻ ആവശ്യമില്ല. ആളുകൾ ഇടറുന്ന പരിധി യഥാർത്ഥമാണ്, പക്ഷേ കേൾക്കുന്നതിനേക്കാൾ ഇടുങ്ങിയതാണ്: AWS രേഖപ്പെടുത്തുന്നു ഓരോ ടണലിനും ഒരു അദ്വിതീയ IPsec SA ജോഡി, ഒന്ന് ഇൻബൗണ്ട് ഒന്ന് ഔട്ട്ബൗണ്ട്, ഒരു കണക്ഷനിലെ രണ്ട് ടണലുകൾക്കും അതതിന്റെ ജോഡി ലഭിക്കുന്നു. ഇത് സേവനത്തിന്റെ സ്വഭാവമാണ്, IPsec ഒരു സമയത്ത് ഒരു സബ്നെറ്റ് സംരക്ഷിക്കുന്നു എന്ന നിയമമല്ല. നയാധിഷ്ഠിത കസ്റ്റമർ ഗേറ്റ്വേ ഓരോ നയ എൻട്രിയെയും സ്വന്തം അസോസിയേഷനാക്കി മാറ്റുമ്പോഴാണ് ഈ വ്യത്യാസം ഏറ്റവും പ്രധാനമാകുന്നത്.
LAN പട്ടികയിൽ നിന്നല്ല, കണക്ഷനിൽ നിന്ന് തുടങ്ങുക
കൺസോളിൽ കണക്ഷൻ തുറന്ന് അത് എങ്ങനെ റൂട്ട് ചെയ്യുന്നുവെന്ന് ശ്രദ്ധിക്കുക. സ്റ്റാറ്റിക് കണക്ഷൻ നിങ്ങൾ പ്രഖ്യാപിച്ച ദൂര പ്രിഫിക്സുകൾ വഹിക്കുന്നു. BGP കണക്ഷൻ അവ കസ്റ്റമർ ഗേറ്റ്വേയിൽ നിന്ന് പഠിക്കുന്നു.
എന്തായാലും, ടണൽ റൂട്ട് അധിഷ്ഠിതമാണ്. അതിലേക്ക് എന്ത് കയറുന്നു എന്നത് നിങ്ങളുടെ ഉപകരണം ചർച്ച ചെയ്യുന്ന സെലക്ടർമാർ തീരുമാനിക്കുന്നു, ഫോമിൽ ടൈപ്പ് ചെയ്യാവുന്ന സബ്നെറ്റുകളുടെ എണ്ണമല്ല.
കസ്റ്റമർ ഗേറ്റ്വേ എന്ത് ചർച്ച ചെയ്യുന്നുവെന്ന് നിരീക്ഷിക്കുക
നയാധിഷ്ഠിത ഉപകരണത്തിന് ഓരോ നയ എൻട്രിയെയും സ്വന്തം SA ആക്കി മാറ്റാം. രണ്ട് LAN എന്നാൽ രണ്ട് എൻട്രികൾ, അതായത് രണ്ട് SA, ഇവിടെയാണ് ടണലിന് പരിധി പ്രധാനമാകാൻ തുടങ്ങുന്നത്. കസ്റ്റമർ ഗേറ്റ്വേ ആവശ്യകതകൾ ഈ പെരുമാറ്റത്തെക്കുറിച്ച് കൃത്യമായി മുന്നറിയിപ്പ് നൽകുകയും ആ ഉപകരണങ്ങളിൽ ഏകീകൃത നിയമങ്ങൾ നിർദ്ദേശിക്കുകയും ചെയ്യുന്നു. ഉപകരണത്തിലെ ACL എണ്ണത്തിന് പകരം ചർച്ച ചെയ്ത സെലക്ടർമാർ പരിശോധിക്കുക.
ഉപകരണം രണ്ട് പ്രിഫിക്സുകളും ഒരൊറ്റ നയത്തിന് കീഴിൽ അവതരിപ്പിക്കാൻ കോൺഫിഗർ ചെയ്യണം, അല്ലാത്തപക്ഷം ദൂര അറ്റത്തിന് ഫലം നിലനിർത്താൻ കഴിയില്ല.
മൂന്ന് ഇൻവെന്ററികൾ, വേർതിരിച്ച് സൂക്ഷിക്കുന്നു
ഈ മൂന്ന് പട്ടികകൾ കലർത്തുക, എല്ലാ മാറ്റവും ഊഹമായി മാറും. അവ വേർതിരിച്ച കോളങ്ങളായി സൂക്ഷിച്ച് നിങ്ങളുടെ സ്വന്തം നെറ്റ്വർക്കിനായി ഓരോന്നും പൂരിപ്പിക്കുക.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
SA പരിധി പരിമിതപ്പെടുത്തുന്നത് മധ്യ കോളത്തെ മാത്രമാണ്. ആദ്യ കോളം ഒരു ബിസിനസ് വസ്തുതയാണ്, മൂന്നാമത്തേത് ഒരു ആപ്ലിക്കേഷനെ പ്രവർത്തിപ്പിക്കുന്നതാണ്. നിങ്ങൾ എഴുതിയ ACL വരികളുടെ എണ്ണത്തിൽ നിന്ന് കവറേജ് അനുമാനിക്കുന്നതിന് പകരം ഉപകരണത്തിലെ സ്വീകരിച്ച സെലക്ടർമാർ വായിക്കുക.
അനുമതി വിശാലമാക്കാതെ ഏകീകരിക്കുക
ഒരു നയ എൻട്രി ലഭിക്കാനുള്ള വ്യക്തമായ വഴിയാണ് സംഗ്രഹ റൂട്ട്, സംരക്ഷിത കൂട്ടം നിശബ്ദമായി വളരുന്ന വഴിയും അതുതന്നെ. രണ്ട് /24-ഉം ഉൾക്കൊള്ളുന്ന /20 ഏതെങ്കിലും ബ്രാഞ്ച് ഉപയോഗിക്കാത്ത വിലാസങ്ങളും ഉൾക്കൊള്ളുന്നു, ടണൽ അവ സന്തോഷത്തോടെ വഹിക്കും. സംഗ്രഹിക്കേണ്ടതുണ്ടെങ്കിൽ, സ്വീകരിക്കുന്ന വശത്ത് ഫിൽട്ടറിംഗുമായി ജോടിയാക്കി അധിക ഇടം വെറുതെ പ്രഖ്യാപിക്കാതിരിക്കുന്നതിന് പകരം നിരസിക്കപ്പെടട്ടെ. നിരസിച്ച പാക്കറ്റ് തെളിവാണ്. പ്രഖ്യാപിക്കാത്ത വിലാസം തെളിവിന്റെ അഭാവം മാത്രം.
സംരക്ഷണ നയം ഏകീകരിക്കുന്നത് എന്ത് എൻക്രിപ്റ്റ് ചെയ്യാമെന്നതിലെ മാറ്റമാണ്. ഇത് ആക്സസ് അനുവദിക്കലല്ല, അതായി കണക്കാക്കരുത്.
രണ്ട് LAN-ഉം പരിശോധിച്ച്, പിന്നീട് രണ്ട് ടണലുകളും നിലനിർത്തുക
ഏകോപിത മാറ്റത്തിന് ശേഷം സജീവ സംരക്ഷണ പരിധി പരിശോധിച്ച്, തുടർന്ന് ഓരോ LAN-ൽ നിന്നും യഥാർത്ഥ ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കുക. ഒരു സബ്നെറ്റ് പ്രവർത്തിക്കുന്നത് രണ്ടാമത്തേതിന്റെ സെലക്ടർ കവറേജിനെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല, അതിന്റെ മറുപടി പാതയെക്കുറിച്ച് അതിലും കുറവ്.
ഡിസൈനിൽ രണ്ട് ടണലുകളും നിലനിർത്തുക. നയം ഏകീകരിക്കുന്നത് ആധിക്യം ഉപേക്ഷിക്കാനുള്ള അനുമതിയല്ല, ഓരോ ബ്രാഞ്ച് LAN-ഉം വഹിക്കുന്ന ഒരൊറ്റ ടണൽ അടുത്ത അറ്റകുറ്റപ്പണി വിൻഡോയെ തടസ്സമാക്കി മാറ്റുന്നു.
ചർച്ച ചെയ്ത സെലക്ടർമാർ, രണ്ട് പ്രിഫിക്സുകൾ, റൂട്ട് ഉടമകൾ എന്നിവ ഒരേ മാറ്റ രേഖയിൽ എഴുതുക. മൂന്നാമത്തെ LAN വരുമ്പോൾ, ആ രേഖ നിങ്ങൾ ഒരു സെലക്ടർ ചേർക്കുകയാണോ പുതുതായി തുടങ്ങുകയാണോ എന്ന് പറയും.