AWS Site-to-Site VPN: barra, ġewwa u l-prefiss LAN

Tliet rwoli tal-indirizz jiġu konfużi fuq VPN AWS wieħed: il-pari ta’ barra, il-ħolqa /30 ta’ ġewwa u l-prefissi LAN protetti. Aqrahom fil-konfigurazzjoni niżżla.

Il-biċċa l-kbira tal-iżbalji f’AWS Site-to-Site VPN huma żbalji fl-indirizzi, u jsiru qabel ma jiċċaqlaq ebda pakkett. L-indirizzi ta’ barra tat-tunnel jilħqu l-pari IPsec, l-indirizzi ta’ ġewwa jiffurmaw il-ħolqa tar-routing bejniethom, u l-prefissi protetti huma dak li għalih hi dik il-ħolqa. Ikkopja rwol f’ieħor u t-tunnel jinġieb ’il fuq waqt li xejn ma jiġi routed. Din hija s-sekwenza aqra-ivverifika-kkonfigura li nuża fuq gateway tal-klijent BGP, bil-valuri meħuda mill-konfigurazzjoni tal-apparat niżżla, mhux mill-memorja.

Tliet rwoli tal-indirizz, tunnel wieħed

L-indirizzi ta’ barra huma pubbliċi u jappartjenu lill-pari IPsec: wieħed għal kull tunnel fuq in-naħa AWS, u l-identità aċċessibbli tal-gateway tal-klijent fuq naħtek, aġġustata għall-arranġament NAT li fil-fatt għandek. L-indirizzi ta’ ġewwa huma privati u jappartjenu lill-ħolqa loġika, li AWS tiddokumenta bħala /30 meħud minn 169.254.0.0/16. Il-prefissi protetti huma n-netwerks VPC, lokali jew ta’ tranżitu li inti tirroutja u tħabbar fuq dik il-ħolqa.

L-għoti ta’ prefiss LAN bħala indirizz tal-interface tat-tunnel hija l-verżjoni klassika ta’ dan l-iżball. L-interface tidher ikkonfigurata, il-LAN mhuwiex imħabbar, u n-naħa l-oħra m’għandhiex rotta għalih. It-tunnel jista’ saħansitra jgħaddi l-ping ta’ ġewwa tiegħu stess waqt li kull isem tal-applikazzjoni jiskadi. Ir-referenza tal-għażliet tat-tunnel telenka l-konstrizzjonijiet tas-CIDR ta’ ġewwa, inkluż il-firxa tal-indirizzi li minnha għandu jiġi.

Aqra l-valuri mill-konfigurazzjoni niżżla

Niżżel il-konfigurazzjoni għall-mudell tal-apparat tiegħek mill-konnessjoni, imbagħad ittratta t-tabella tal-indirizzi tagħha bħala s-sors tal-verità. Il-console turi l-istess valuri għal kull tunnel: IP ta’ barra, CIDR ta’ ġewwa u l-indirizz tal-pari BGP fuq in-naħa AWS. Iż-żewġ tunnels huma oġġetti separati b’punti tat-tarf ta’ barra separati u /30 ta’ ġewwa separati, għalkemm it-tnejn iġorru l-istess netwerks protetti.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Jekk il-fajl niżżel u l-console live ma jaqblux, il-fajl huwa skadut. Erġa’ niżżel minflok ma teditja l-indirizzi bl-idejn, għax nuqqas ta’ qbil bejn il-par ta’ ġewwa u l-ġar ikkonfigurat tal-pari huwa falliment BGP sieket.

Ibni l-ħolqa bl-indirizz it-tajjeb fuqha

Fuq gateway Linux it-tunnel huwa interface VTI jew XFRM, u l-/30 ta’ ġewwa jmur fuq dak l-interface. Żewġ tunnels ifissru żewġ interfaces u żewġ ġirien BGP, wieħed għal kull punt tat-tarf AWS. Il-konvenzjoni li AWS tistampa fil-konfigurazzjoni tal-apparat niżżla tqiegħed il-gateway privat virtwali fl-ewwel indirizz ta’ kull /30 ta’ ġewwa u l-gateway tal-klijent tiegħek fit-tieni, għalhekk tieħu l-indirizz l-ogħla u tagħmel peering ma’ dak l-aktar baxx. Xejn hawn m’għandu bżonn indirizz LAN.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Jekk il-fajl għall-mudell tal-apparat tiegħek jistampa l-par maqlub, uża n-numri tiegħu u żomm ir-regola: l-indirizz fuq l-interface huwa tiegħek, l-indirizz tal-pari jappartjeni lill-AWS. Li tagħmilha bil-maqlub tipproduċi tunnel li qatt ma jasal għal Established, għax il-ġar li kkonfigurajt huwa l-indirizz li l-interface tiegħek diġà għandha.

Żomm il-mark u ċ-ċavetta VTI allinjati ma’ dak li juża d-daemon IKE biex jorbot SA tifel mal-interface, inkella t-traffiku jasal fuq it-tunnel mingħajr interface fejn jinżel. Iċċekkja l-MTU kontra l-passaġġ u kontra s-settings tad-daemon IKE stess minflok ma tikkopja numru minn sit ieħor.

Ivverifika BGP qabel ma tivverifika r-rotot

Li IPsec jinġieb ’il fuq jipprova li l-pari jaqblu fuq assoċjazzjoni tas-sigurtà u xejn aktar. Is-sessjoni BGP hija negozjat separat fuq il-ħolqa ta’ ġewwa, għalhekk aqra l-istat tal-ġar u l-kontaturi tal-prefissi, imbagħad qabbelhom ma’ dak li kellek ħsieb tħabbar.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

L-istat Established b’żero prefissi riċevuti hija problema ta’ politika jew tħabbir, mhux problema tat-tunnel. Errepeti l-verifika kollha fuq it-tieni tunnel; l-ewwel tunnel li jaħdem jgħidlek li l-indirizzi huma plawżibbli, mhux li t-tieni tunnel ġie kkonfigurat xejn.

Segwi pakkett routed, imbagħad waqaf

Ladarba s-sessjoni jġorr il-prefissi, ipprova r-rotta fiż-żewġ direzzjonijiet mill-gateway: indirizz tas-sors, hop li jmiss u l-politika tas-sigurtà li tippermetti t-traffiku. Sessjoni BGP tista’ tkun ’il fuq waqt li l-prefiss speċifiku li l-applikazzjoni tiegħek teħtieġ huwa ffiltrat, miġbur jew indikat lejn l-interface ħażin.

Reachability Analyzer huwa l-għodda tan-naħa AWS li tieħu sors, destinazzjoni u passaġġ, u tirrapporta liema komponent f’konfigurazzjoni appoġġata waqqafu. Użaha biex tittestja l-passaġġ mill-VPC sal-indirizz tal-gateway tal-klijent tiegħek, mhux minn host tal-applikazzjoni. Hija tanalizza l-konfigurazzjoni u ma tibgħatx pakkett minn firewall lokali, għalhekk żomm il-verdett tagħha separat mill-kontaturi tal-interface u l-qabdiet tal-pakketti tiegħek stess.

Irreġistra l-par ta’ barra, il-/30 ta’ ġewwa u l-prefissi mħabbra għal kull tunnel f’tabella waħda. Dik it-tabella hija dik li tagħmel il-bidla li jmiss reviżabbli.

Artikli relatati