एउटै AWS VPN सुरुङमा धेरै LAN: SA सीमाको अर्थ के हो
AWS प्रति सुरुङ एक IPsec SA जोडीको अनुमति दिन्छ, र यो एक-सबनेट सीमा होइन। पहिले सुरक्षा दायरालाई राउटिङ र पहुँचबाट अलग गर्नुहोस्।
AWS Site-to-Site VPN मा दोस्रो शाखा LAN थप्न त्यो सुरुङभित्र दोस्रो स्वतन्त्र IPsec सम्बद्धता आवश्यक छैन। मानिसहरू जुन सीमामा ठेस खान्छन् त्यो वास्तविक छ, तर सुनिनेभन्दा साँघुरो छ: AWS कागजात गर्छ प्रति सुरुङ एक अद्वितीय IPsec SA जोडी, एउटा आउने र एउटा जाने, र एउटा जडानका दुई सुरुङले प्रत्येकले आफ्नै जोडी पाउँछन्। यो सेवाको गुण हो, IPsec एक पटकमा एक सबनेट सुरक्षित गर्छ भन्ने नियम होइन। यो भिन्नता सबैभन्दा महत्त्वपूर्ण हुन्छ जब नीति-आधारित ग्राहक गेटवेले प्रत्येक नीति प्रविष्टिलाई आफ्नै सम्बद्धतामा बदल्छ।
LAN सूचीबाट होइन, जडानबाट सुरु गर्नुहोस्
कन्सोलमा जडान खोल्नुहोस् र यो कसरी राउट हुन्छ हेर्नुहोस्। स्थिर जडानले तपाईंले घोषणा गरेका टाढाका प्रिफिक्स बोक्छ। BGP जडानले ती ग्राहक गेटवेबाट सिक्छ।
जसरी पनि, सुरुङ मार्ग-आधारित छ। यसमा के जान्छ भन्ने तपाईंको यन्त्रले वार्ता गर्ने सिलेक्टरहरूले निर्धारण गर्छ, फारममा टाइप गर्न सकिने सबनेटको संख्या होइन।
ग्राहक गेटवेले के वार्ता गर्छ हेर्नुहोस्
नीति-आधारित यन्त्रले प्रत्येक नीति प्रविष्टिलाई आफ्नै SA बनाउन सक्छ। दुई LAN भनेको दुई प्रविष्टि, अर्थात् दुई SA, र यहीँबाट प्रति-सुरुङ सीमा महत्त्वपूर्ण हुन थाल्छ। ग्राहक गेटवेका आवश्यकताहरू ठ्याक्कै यही व्यवहारबारे चेतावनी दिन्छन् र ती यन्त्रहरूमा एकीकृत नियम सुझाउँछन्। यन्त्रको ACL गणनाको सट्टा वार्ता गरिएका सिलेक्टर जाँच्नुहोस्।
यन्त्रलाई एउटै नीतिअन्तर्गत दुवै प्रिफिक्स प्रस्तुत गर्न कन्फिगर गर्नुपर्छ, अन्यथा टाढाको छेउले नतिजा धान्न सक्दैन।
तीन सूची, अलग राखिएका
यी तीन सूची मिसाउनुहोस् र प्रत्येक परिवर्तन अनुमान बन्छ। तिनीहरूलाई अलग स्तम्भका रूपमा राख्नुहोस् र आफ्नै सञ्जालका लागि प्रत्येक भर्नुहोस्।
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
केवल बीचको स्तम्भ SA सीमाले सीमित छ। पहिलो स्तम्भ व्यापारिक तथ्य हो, र तेस्रो स्तम्भ त्यो हो जसले अनुप्रयोग चलाउँछ। तपाईंले लेखेका ACL रेखाको संख्याबाट कभरेज अनुमान गर्नुको सट्टा यन्त्रमा स्वीकारिएका सिलेक्टर पढ्नुहोस्।
अनुमति नबढाई एकीकृत गर्नुहोस्
सारांश मार्ग एक नीति प्रविष्टि पाउने स्पष्ट तरिका हो, र संरक्षित समूह चुपचाप बढ्ने तरिका पनि त्यही हो। दुवै /24 समेट्ने /20 ले कुनै पनि शाखाले नप्रयोग गर्ने ठेगानाहरू पनि समेट्छ, र सुरुङले तिनीहरूलाई खुसीसाथ बोक्छ। यदि सारांश गर्नैपर्छ भने, त्यसलाई प्राप्त गर्ने पक्षको फिल्टरिङसँग जोड्नुहोस् ताकि अतिरिक्त ठाउँ केवल घोषणा नगरिनुको सट्टा अस्वीकार होस्। अस्वीकार गरिएको प्याकेट प्रमाण हो। नघोषित ठेगाना प्रमाणको अभाव मात्र हो।
सुरक्षा नीति एकीकृत गर्नु भनेको के इन्क्रिप्ट गर्न सकिन्छ भन्नेमा परिवर्तन हो। यो पहुँचको अनुदान होइन र त्यसरी लिनु हुँदैन।
दुवै LAN परीक्षण गर्नुहोस्, त्यसपछि दुवै सुरुङ राख्नुहोस्
समन्वित परिवर्तनपछि सक्रिय सुरक्षा दायरा निरीक्षण गर्नुहोस् र त्यसपछि प्रत्येक LAN बाट वास्तविक अनुप्रयोग चलाउनुहोस्। एउटा सबनेट चल्नुले दोस्रोको सिलेक्टर कभरेजबारे केही प्रमाणित गर्दैन, र त्यसको जवाफ मार्गबारे त झन् कम।
डिजाइनमा दुवै सुरुङ राख्नुहोस्। नीति एकीकृत गर्नु अतिरेक त्याग्ने अनुमति होइन, र प्रत्येक शाखा LAN बोक्ने एउटै सुरुङले अर्को मर्मत विन्डोलाई व्यवधान बनाउँछ।
वार्ता गरिएका सिलेक्टर, दुवै प्रिफिक्स र मार्ग मालिकहरूलाई एउटै परिवर्तन रेकर्डमा लेख्नुहोस्। तेस्रो LAN आउँदा त्यो रेकर्डले तपाईंलाई सिलेक्टर थप्दै हुनुहुन्छ कि नयाँबाट सुरु गर्दै हुनुहुन्छ भनी बताउँछ।