Нэг AWS VPN туннель дээр олон LAN: SA хязгаар ямар утгатай вэ
AWS туннель бүрт нэг IPsec SA хосыг зөвшөөрдөг бөгөөд энэ нь нэг дэд сүлжээний хязгаар биш. Эхлээд хамгаалалтын хүрээг чиглүүлэлт, хандалтаас тусгаарлана уу.
AWS Site-to-Site VPN-д хоёр дахь салбарын LAN нэмэхэд тухайн туннелийн дотор хоёр дахь бие даасан IPsec холбоо шаардлагагүй. Хүмүүсийн бүдрэх хязгаар нь бодит боловч сонсогдохоос нарийхан: AWS баримтжуулдаг туннель бүрт нэг өвөрмөц IPsec SA хос, нэг орж ирэх, нэг гарч байгаа бөгөөд нэг холболтын хоёр туннель тус бүр өөрийн хосыг авдаг. Энэ нь үйлчилгээний шинж чанар бөгөөд IPsec нэгэн зэрэг нэг дэд сүлжээг хамгаалдаг гэсэн дүрэм биш. Энэ ялгаа нь бодлогод суурилсан харилцагчийн гарц бодлогын бичлэг бүрийг өөрийн холбоо болгоход хамгийн чухал.
LAN жагсаалтаас биш, холболтоос эхэл
Консол дээр холболтыг нээж, хэрхэн чиглүүлж байгааг анзаар. Статик холболт нь таны зарласан алсын префиксүүдийг зөөдөг. BGP холболт тэдгээрийг харилцагчийн гарцаас сурдаг.
Ямар ч байсан, туннель нь чиглүүлэлтэд суурилсан. Дотор нь юу орохыг таны төхөөрөмж тохиролцож буй селекторууд тодорхойлно, маягтад бичиж болох дэд сүлжээний тоо биш.
Харилцагчийн гарц юу тохиролцож байгааг ажигла
Бодлогод суурилсан төхөөрөмж бодлогын бичлэг бүрийг өөрийн SA болгож чадна. Хоёр LAN гэдэг нь хоёр бичлэг, өөрөөр хэлбэл хоёр SA гэсэн үг бөгөөд эндээс туннель тутмын хязгаар ач холбогдолтой болж эхэлдэг. Харилцагчийн гарцын шаардлага яг энэ зан үйлийн талаар анхааруулж, тэдгээр төхөөрөмж дээр нэгтгэсэн дүрэм санал болгодог. Төхөөрөмж дээрх ACL-ийн тоо биш, тохиролцсон селекторуудыг шалга.
Төхөөрөмжийг хоёр префиксыг нэг бодлогын дор үзүүлэхээр тохируулах ёстой, эс бөгөөс алсын тал үр дүнг барьж чадахгүй.
Гурван бүртгэл, тусдаа хадгалагдана
Эдгээр гурван жагсаалтыг хольж, аливаа өөрчлөлт таамаг болно. Тэдгээрийг тусдаа багана болгон хадгалж, өөрийн сүлжээнд зориулж тус бүрийг бөглө.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Зөвхөн дунд багана нь SA хязгаараар хязгаарлагддаг. Эхний багана бизнесийн баримт, харин гурав дахь нь програмыг ажиллуулдаг зүйл юм. Төхөөрөмж дээрх хүлээн авсан селекторуудыг уншиж, бичсэн ACL мөрүүдийн тооноос хамрах хүрээг дүгнэх хэрэггүй.
Зөвшөөрлийг өргөжүүлэхгүйгээр нэгтгэ
Дүгнэлт маршрут нь нэг бодлогын бичлэг авах тодорхой арга бөгөөд хамгаалагдсан багц чимээгүй өсөх арга нь ч мөн адил. Хоёр /24-ийг хамарсан /20 нь аль ч салбар ашигладаггүй хаягуудыг ч хамардаг бөгөөд туннель тэдгээрийг баяртайгаар зөөнө. Хэрэв заавал нэгтгэх бол хүлээн авагч талд шүүлтүүртэй хослуулж, нэмэлт орон зайг зүгээр л зарлахгүй байхын оронд татгалзуул. Татгалзсан пакет бол нотолгоо. Зарлаагүй хаяг бол зөвхөн нотолгоо байхгүй байх явдал.
Хамгаалалтын бодлогыг нэгтгэх нь юуг шифрлэж болохыг өөрчлөх явдал. Энэ нь хандалт олгох биш бөгөөд тийм гэж үзэх ёсгүй.
Хоёр LAN-ыг туршиж, дараа нь хоёр туннелийг хадгал
Зохицуулсан өөрчлөлтийн дараа идэвхтэй хамгаалалтын хүрээг шалгаж, дараа нь LAN бүрээс бодит програмыг ажиллуул. Нэг дэд сүлжээ ажиллаж байгаа нь хоёр дахь нь селекторын хамрах хүрээний талаар юу ч нотлохгүй, хариу замын талаар бүр ч бага.
Дизайн дээр хоёр туннелийг хадгал. Бодлогыг нэгтгэх нь илүүдлийг хаях зөвшөөрөл биш бөгөөд салбарын LAN бүрийг зөөдөг нэг туннель дараагийн засвар үйлчилгээний цонхыг тасалдал болгоно.
Тохиролцсон селекторууд, хоёр префикс, маршрутын эзэд нэг өөрчлөлтийн бүртгэлд бич. Гурав дахь LAN ирэхэд тэр бүртгэл таныг селектор нэмж байгаа эсвэл эхнээс эхэлж байгааг хэлнэ.