AWS VPN-ийн локал ба алсын CIDR: аль тал нь аль вэ?

Та Site-to-Site VPN-ийн тохиргоог нээхэд локал ба алсын гэж тэмдэглэсэн хоёр CIDR нүд харагдана, та локал гэж боддог хаяг буюу VPC рүү гар сунгана. Энэ нь API-ийн утгатай эсрэг байна. Холболтын тохиргоонд LocalIpv4NetworkCidr харилцагчийн гарцын талыг, RemoteIpv4NetworkCidr AWS-ийн талыг нэрлэдэг, учир нь холболт харилцагчийн гарцаас эхлэн баригддаг. Консол үүнийг хэзээ ч чанга хэлэхгүй бөгөөд итгэмээр харагдах солилтыг юу ч үгүйсгэхгүй.

Консолын шошгоноос биш, API дуудлагаас эхэл

Холболтын тохиргооны лавлагаа-г нэг удаа бүхэлд нь уншаад, тохиргоо бүр харилцагчийн гарцын өнцгөөс бичигдсэнийг анзаараарай. Энэ нь нэрлэлтийн санамсаргүй зүйл биш. Туннель нь таны талд түүнийг дуусгаж буй төхөөрөмжид харагдах байдлаар дүрслэгддэг, тиймээс локал гэдэг нь таны гарцын ард байгаа сүлжээ, алс гэдэг нь AWS-ийн гарцын ард байгаа сүлжээ юм. IPv4 болон IPv6 талбарууд ижил дүрмийг дагана.

Ямар нэг зүйл бичихээс өмнө хоёр шошгыг наалдамхай цаасан дээр бичээрэй: харилцагчийн тал, AWS-ийн тал. Дараа нь хаягуудаа тэдгээрт тохируулна.

Үүргүүдтэй боловсруулсан жишээ

Локал префикс 10.20.0.0/16, VPC-ийн префикс 10.60.0.0/16 гэж үзье. Тохиргоонууд нь үүргүүдийн заасан ёсоор уншигдана, локал хүрээ нь локал талбарт байна:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Одоо мөн тэр хосыг хамтрагч төхөөрөмжийг тохируулж буй хүнд өгч, урхи хэрхэн ажиллахыг хараарай. Олон галт ханын хувьд локал гэдэг нь туннель дуусах интерфейс, алс гэдэг нь холын үзүүр бөгөөд энэ нь AWS-ийн талд эсрэг буулгалт юм. Хоёулаа зөв байж болох ч хэзээ ч бүрдэхгүй туннель үүсэж болно, учир нь хоёр толь бичиг өөр өөр төгсгөлийн цэгүүдийг дүрсэлдэг.

Аль ч төхөөрөмжид хүрэхээс өмнө дасгалыг цаасан дээр хамтрагчийн нэр томьёогоор давтаарай, хоёр CIDR болон хоёр шошготой.

Анхдагч утгууд нь загвар биш

Мөн тэр лавлагаанд IPv4-ийн хоёр талбарын анхдагч утга болгон 0.0.0.0/0 заасан бөгөөд IPv6-д ижил төстэй утгууд байна. Эдгээр утгыг одоо байгаа холболтод харах нь талбар хэзээ ч нарийсгагдаагүй гэсэн үг, интернетийн гаралт тохируулсан гэсэн үг биш. Маршрутын хуваарилалт, дэд сүлжээний маршрутын хүснэгт, аюулгүй байдлын хяналт нь ямар урсгал үнэхээр нэвтрэх боломжтойг шийдсээр байна; CIDR утгууд нь туннель ямар хүрээг сонгоход бэлэн байгааг л тодорхойлно.

Тиймээс нарийн утгыг анхдагчаар солих нь туннель буруу ажиллахад хэрэглэдэг нийцлийн арга биш. Энэ нь сонгогчийг өргөжүүлж, бусад бүх давхаргыг байсан хэвээр нь үлдээнэ.

Хамтрагч төхөөрөмж нөгөө өнцгийг ашиглана

AWS-ийн тал тодорхой болсны дараа хамтрагчийн тохиргоо нь үлдсэн будлианы ихэнх нь байрладаг газар. Локал сүлжээ болон алс сүлжээ асуудаг төхөөрөмж өөрийн интерфейсийг локал гэж дүрсэлдэг, тиймээс таны VPC хүрээ түүний алс талбарт, локал хүрээ таны локал талбарт орно. Хэрэв оронд нь урсгалын сонгогчийг хосоор асуувал та хоёр чиглэлийг тодорхой бичих бөгөөд шошго нь хослуулахаас бага ач холбогдолтой.

Төхөөрөмжийн талбарын нэрийг биш, талбарын тусламжийг уншаарай. Үйлдвэрлэгчид ижил хоёр үгийг гурван өөр ойлголтод дахин ашигладаг.

Дараа нь хоёр үе шатын хувьд туннелийн төлөвийг шалгаарай, учир нь тохирохгүй сонгогч ихэвчлэн хоёр дахь үе шатын алдаа болж харагдах бөгөөд эхний үе шат тайван тогтоогдсон хэвээр байна.

Тохиргоог баримт бичиг биш, өөрчлөлт мэт өөрчил

Ажиллаж буй VPN дээр холболтын тохиргоог засах нь үйлчилгээг тасалдуулж болзошгүй тул цонх, буцаах утга, хэнд нөлөөлөхийг тэмдэглэсэн засвар үйлчилгээний үйлдэл гэж үзээрэй. Эхлээд одоогийн тохиргоог, хоёр CIDR талбар болон туннелийн тохиргоог оролцуулан тэмдэглээрэй, ингэснээр буцаах нь дахин бүтээх биш, буулгах болно.

Өөрчлөлтийн дараа AWS-ийн талаас болон хамтрагчаас шалгаарай: хүрээ бүрт нэг эх сурвалж нөгөөгийн хүрэх цэгт хүрнэ, хоёр чиглэлд. Нэг талаас нэг ping нь нэг сонгогчийг л батална.

Дараа нь холболтын баримт бичгийг үүргүүдийг бичиж шинэчлээрэй, дараагийн хүн локал гэдэг нь таны тал гэдгийг дахин нээх шаардлагагүй болно.