CIDR tempatan dan jauh dalam AWS VPN: sisi mana yang mana?

Anda membuka pilihan Site-to-Site VPN, melihat dua kotak CIDR berlabel tempatan dan jauh, lalu meraih alamat yang anda anggap tempatan: VPC. Itu adalah kebalikan daripada maksud API. Dalam pilihan sambungan, LocalIpv4NetworkCidr menamakan sisi gerbang pelanggan dan RemoteIpv4NetworkCidr menamakan sisi AWS, kerana sambungan dibina daripada gerbang pelanggan. Konsol tidak pernah menyatakannya dengan lantang, dan tiada apa yang menolak pertukaran yang kelihatan munasabah.

Mulakan daripada panggilan API, bukan label konsol

Baca rujukan pilihan sambungan sekali sehingga habis dan perhatikan bahawa setiap pilihan ditulis daripada sudut pandangan gerbang pelanggan. Itu bukan kebetulan penamaan. Terowong diterangkan seperti yang dilihat oleh peranti yang menamatkannya di sisi anda, jadi tempatan bermaksud rangkaian di belakang gerbang anda dan jauh bermaksud rangkaian di belakang gerbang AWS. Kedua-dua medan IPv4 dan IPv6 mengikut peraturan yang sama.

Tulis kedua-dua label pada nota pelekat sebelum menaip apa-apa: sisi pelanggan, sisi AWS. Kemudian petakan alamat anda kepadanya.

Contoh kerja dengan peranannya

Katakan awalan tempatan ialah 10.20.0.0/16 dan awalan VPC ialah 10.60.0.0/16. Pilihan dibaca tepat seperti yang dicadangkan oleh peranan, dengan julat tempatan dalam medan tempatan:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Sekarang serahkan pasangan yang sama kepada sesiapa yang mengkonfigurasi peranti rakan dan lihat perangkap itu beraksi. Pada banyak firewall, tempatan bermaksud antara muka tempat terowong berakhir dan jauh bermaksud hujung yang jauh, iaitu pemetaan terbalik bagi sisi AWS. Kedua-dua orang boleh betul dan masih menghasilkan terowong yang tidak pernah selesai, kerana kedua-dua istilah menggambarkan titik akhir yang berbeza.

Ulang latihan di atas kertas dalam istilah rakan, dengan kedua-dua CIDR dan kedua-dua label, sebelum mana-mana peranti disentuh.

Nilai lalai bukan reka bentuk

Rujukan yang sama menyenaraikan 0.0.0.0/0 sebagai nilai lalai untuk kedua-dua medan IPv4, dengan nilai serupa untuk IPv6. Melihat nilai itu dalam sambungan sedia ada memberitahu anda medan itu tidak pernah disempitkan, bukan bahawa jalan keluar internet telah dikonfigurasi. Pengagihan laluan, jadual laluan subnet dan kawalan keselamatan masih menentukan trafik apa yang benar-benar boleh melintas; nilai CIDR hanya menerangkan julat mana yang terowong bersedia pilih.

Jadi menggantikan nilai yang lebih sempit dengan nilai lalai bukanlah helah keserasian yang boleh digunakan apabila terowong berkelakuan salah. Ia meluaskan pemilih dan membiarkan setiap lapisan lain tepat seperti sebelumnya.

Peranti rakan menggunakan sudut pandangan yang lain

Setelah sisi AWS jelas, konfigurasi rakan ialah tempat sebahagian besar kekeliruan yang tinggal. Peranti yang meminta rangkaian tempatan dan rangkaian jauh menggambarkan antara mukanya sendiri sebagai tempatan, jadi julat VPC anda masuk ke medan jauhnya dan julat tempatan anda masuk ke medan tempatannya. Jika sebaliknya ia meminta pemilih trafik secara berpasangan, anda menulis kedua-dua arah secara eksplisit dan label kurang penting daripada pemasangan pasangan.

Baca bantuan medan peranti, bukan nama medannya. Pengeluar menggunakan dua perkataan yang sama untuk tiga konsep berbeza.

Kemudian periksa status terowong untuk kedua-dua fasa, kerana pemilih yang tidak sepadan biasanya muncul sebagai kegagalan fasa kedua sementara fasa pertama kekal tenang terjalin.

Ubah pilihan seperti perubahan, bukan seperti dokumentasi

Mengedit pilihan sambungan pada VPN yang aktif boleh mengganggu perkhidmatan, jadi anggap ia sebagai tindakan penyelenggaraan dengan tetingkap, nilai pulangan dan nota siapa yang terjejas. Rakam pilihan semasa dahulu, termasuk kedua-dua medan CIDR dan pilihan terowong, supaya pengembalian adalah tampal dan bukan bina semula.

Selepas perubahan, sahkan dari sisi AWS dan dari rakan: sumber dalam setiap julat mencapai destinasi dalam yang lain, dalam kedua-dua arah. Satu ping dari satu sisi membuktikan satu pemilih.

Kemudian kemas kini dokumentasi sambungan dengan peranan ditulis, supaya orang seterusnya tidak perlu menemui semula bahawa tempatan bermaksud sisi anda.