Diversi LAN fuq mina VPN AWS waħda: xi tfisser il-limitu tal-SA
AWS tippermetti par IPsec SA wieħed għal kull mina, u dan mhuwiex limitu ta' subnetwork wieħed. L-ewwel issepara l-ambitu tal-protezzjoni mir-routing u l-aċċess.
Iż-żieda ta' tieni LAN tal-fergħa ma' AWS Site-to-Site VPN ma teħtieġx tieni assoċjazzjoni IPsec indipendenti ġewwa dik il-mina. Il-limitu li n-nies jitfixklu fuqu huwa reali, iżda idjaq milli jidher: AWS tiddokumenta par IPsec SA uniku wieħed għal kull mina, wieħed dieħel u wieħed ħiereġ, u ż-żewġ mini f'konnessjoni waħda kull waħda tieħu l-par tagħha. Din hija propjetà tas-servizz, mhux regola li IPsec jipproteġi subnetwork wieħed kull darba. Id-distinzjoni hija l-aktar importanti meta gateway tal-klijent ibbażat fuq il-politika jbiddel kull entrata tal-politika fl-assoċjazzjoni tiegħu stess.
Ibda bil-konnessjoni, mhux bil-lista tal-LAN
Iftaħ il-konnessjoni fil-console u innota kif tiġi routed. Konnessjoni statika ġġorr il-prefissi remoti li ddikjarajt. Konnessjoni BGP titgħallimhom mill-gateway tal-klijent.
B'kull mod, il-mina hija bbażata fuq rotot. X'jidħol fiha huwa deċiż mis-seletturi li l-apparat tiegħek jinnegozja, mhux min-numru ta' subnetworks li tista' tittajpja f'formola.
Innota dak li jinnegozja l-gateway tal-klijent
Apparat ibbażat fuq il-politika jista' jbiddel kull entrata tal-politika fl-SA tiegħu stess. Żewġ LAN ifissru żewġ entrati, jiġifieri żewġ SA, u hawn il-limitu għal kull mina jibda jgħodd. Ir-rekwiżiti tal-gateway tal-klijent jwissu eżattament dwar dan l-imġieba u jissuġġerixxu regoli konsolidati fuq dawk l-apparati. Iċċekkja s-seletturi nnegozjati minflok l-għadd ta' ACLs fuq l-apparat.
L-apparat irid jiġi kkonfigurat biex jippreżenta ż-żewġ prefissi taħt politika waħda, inkella t-tarf imbiegħed sempliċement ma jistax iżomm ir-riżultat.
Tliet inventarji, miżmuma separati
Ħallat dawn it-tliet listi u kull bidla ssir raden. Żommhom bħala kolonni separati u imla kull waħda għan-netwerk tiegħek stess.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Hija biss il-kolonna tan-nofs li hija kkundizzjonata mil-limitu tal-SA. L-ewwel kolonna hija fatt kummerċjali, u t-tielet hija dak li jġiegħel applikazzjoni taħdem. Aqra s-seletturi aċċettati fuq l-apparat minflok tiddeduċi l-kopertura mill-għadd ta' linji ACL li ktibt.
Ikkonsolida mingħajr ma twessa' l-permess
Rotta sommarja hija l-mod ovvju biex tikseb entrata waħda tal-politika, u hija wkoll il-mod kif sett protett jikber bil-kwiet. /20 li jkopri ż-żewġ /24 ikopri wkoll indirizzi li lanqas waħda mill-fergħat ma tuża, u l-mina se ġġorrhom bil-qalb. Jekk trid tosserva, qabbadha ma' filtru fuq in-naħa li tirċievi biex l-ispazju żejjed jiġi miċħud minflok sempliċement ma jiġix imħabbar. Pakkett miċħud huwa prova. Indirizz li ma ġiex imħabbar huwa biss assenza ta' prova.
L-ikkonsolidar tal-politika tal-protezzjoni huwa bidla f'dak li jista' jiġi encrypted. Mhuwiex għoti ta' aċċess u m'għandux jiġi ttrattat bħala tali.
Ittestja ż-żewġ LAN, imbagħad żomm iż-żewġ mini
Wara bidla koordinata, spezzjona l-ambitu tal-protezzjoni attiv u mbagħad eżegwixxi applikazzjoni reali minn kull LAN. Subnetwork wieħed jaħdem ma jipprova xejn dwar il-kopertura tas-seletturi tat-tieni, u anqas dwar il-perkors tar-risposta tiegħu.
Żomm iż-żewġ mini fid-disinn. L-ikkonsolidar tal-politika mhuwiex permess li tħalli r-redundanza barra, u mina waħda li ġġorr kull LAN tal-fergħa tagħmel il-window tal-manutenzjoni li jmiss interruzzjoni.
Ikteb is-seletturi nnegozjati, iż-żewġ prefissi u s-sidien tar-rotot fl-istess rekord tal-bidla. Meta tasal tielet LAN, dak ir-rekord jgħidlek jekk qed iżżid selettur jew qed tibda mill-ġdid.