Beberapa LAN pada Satu Terowong VPN AWS: Apa Maksud Had SA
AWS membenarkan satu pasangan IPsec SA setiap terowong, dan itu bukan had satu subnet. Pisahkan dahulu skop perlindungan daripada penghalaan dan akses.
Menambah LAN cawangan kedua pada AWS Site-to-Site VPN tidak memerlukan persatuan IPsec bebas kedua di dalam terowong itu. Had yang orang tersandung itu nyata tetapi lebih sempit daripada bunyinya: AWS mendokumenkan satu pasangan IPsec SA unik setiap terowong, satu masuk dan satu keluar, dan kedua-dua terowong dalam satu sambungan masing-masing mendapat pasangannya sendiri. Itu sifat perkhidmatan, bukan peraturan bahawa IPsec melindungi satu subnet pada satu masa. Perbezaan ini paling penting apabila get laluan pelanggan berasaskan dasar menukar setiap entri dasar menjadi persatuannya sendiri.
Mulakan dengan sambungan, bukan senarai LAN
Buka sambungan dalam konsol dan perhatikan cara ia dihalakan. Sambungan statik membawa awalan jauh yang anda isytiharkan. Sambungan BGP mempelajarinya daripada get laluan pelanggan.
Sama ada cara, terowong ini berasaskan laluan. Apa yang masuk ke dalamnya ditentukan oleh pemilih yang dirundingkan peranti anda, bukan bilangan subnet yang boleh anda taip dalam borang.
Perhatikan apa yang dirundingkan oleh get laluan pelanggan
Peranti berasaskan dasar boleh menukar setiap entri dasar menjadi SA sendiri. Dua LAN bermakna dua entri, yang bermakna dua SA, dan di sinilah had setiap terowong mula penting. Keperluan get laluan pelanggan memberi amaran tepat tentang tingkah laku ini dan mencadangkan peraturan disatukan pada peranti tersebut. Semak pemilih yang dirundingkan dan bukan bilangan ACL pada peranti.
Peranti mesti dikonfigurasikan untuk membentangkan kedua-dua awalan di bawah satu dasar, jika tidak hujung jauh tidak dapat mengekalkan hasilnya.
Tiga inventori, disimpan berasingan
Campurkan ketiga-tiga senarai ini dan setiap perubahan menjadi tekaan. Simpan sebagai lajur berasingan dan isi setiap satu untuk rangkaian anda sendiri.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Hanya lajur tengah dihadkan oleh had SA. Lajur pertama ialah fakta perniagaan, dan lajur ketiga ialah apa yang menjadikan aplikasi berfungsi. Baca pemilih yang diterima pada peranti dan bukannya menyimpulkan liputan daripada bilangan baris ACL yang anda tulis.
Satukan tanpa meluaskan kebenaran
Laluan ringkasan ialah cara jelas untuk mendapatkan satu entri dasar, dan ia juga cara set terlindung membesar secara senyap. /20 yang meliputi kedua-dua /24 juga meliputi alamat yang tidak digunakan oleh mana-mana cawangan, dan terowong akan membawanya dengan senang hati. Jika anda mesti meringkaskan, pasangkannya dengan penapisan di sebelah penerima supaya ruang tambahan ditolak dan bukan sekadar tidak diumumkan. Paket yang ditolak ialah bukti. Alamat yang tidak diumumkan hanyalah ketiadaan bukti.
Menyatukan dasar perlindungan ialah perubahan pada apa yang boleh disulitkan. Ia bukan pemberian akses dan tidak boleh dianggap sedemikian.
Uji kedua-dua LAN, kemudian kekalkan kedua-dua terowong
Selepas perubahan yang diselaraskan, periksa skop perlindungan aktif dan kemudian jalankan aplikasi sebenar dari setiap LAN. Satu subnet berfungsi tidak membuktikan apa-apa tentang liputan pemilih yang kedua, dan lebih-lebih lagi tentang laluan balasnya.
Kekalkan kedua-dua terowong dalam reka bentuk. Menyatukan dasar bukan kebenaran untuk membuang lebihan, dan satu terowong yang membawa setiap LAN cawangan menjadikan tetingkap penyelenggaraan seterusnya sebagai gangguan.
Tulis pemilih yang dirundingkan, kedua-dua awalan dan pemilik laluan ke dalam rekod perubahan yang sama. Apabila LAN ketiga tiba, rekod itu memberitahu anda sama ada anda menambah pemilih atau bermula semula.