CIDR lokaal en op afstand in AWS VPN: welke kant is welke?

Je opent de opties voor Site-to-Site VPN, ziet twee CIDR-velden met de labels lokaal en op afstand, en grijpt naar het adres dat je als lokaal beschouwt: de VPC. Dat is het omgekeerde van wat de API bedoelt. In de verbindingsopties noemt LocalIpv4NetworkCidr de klantgatewayzijde en RemoteIpv4NetworkCidr de AWS-zijde, omdat de verbinding vanaf de klantgateway wordt opgebouwd. De console zegt dit nooit hardop, en niets wijst een plausibel lijkende omwisseling af.

Begin bij de API-aanroep, niet bij het consolelabel

Lees de referentie voor verbindingsopties één keer helemaal door en merk op dat elke optie vanuit het standpunt van de klantgateway is geschreven. Dat is geen toeval in de naamgeving. De tunnel wordt beschreven zoals die eruitziet voor het apparaat dat hem aan jouw kant beëindigt, dus lokaal betekent het netwerk achter je gateway en op afstand het netwerk achter de AWS-gateway. Zowel de IPv4- als de IPv6-velden volgen dezelfde regel.

Schrijf de twee labels op een plakbriefje voordat je iets typt: klantzijde, AWS-zijde. Wijs daarna je adressen daaraan toe.

Een uitgewerkt voorbeeld met de rollen

Stel dat het lokale prefix 10.20.0.0/16 is en het VPC-prefix 10.60.0.0/16. De opties lezen precies zoals de rollen suggereren, met het lokale bereik in het lokale veld:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Geef nu hetzelfde paar aan degene die het peerapparaat configureert en kijk hoe de val dichtklapt. Op veel firewalls betekent lokaal de interface waarop de tunnel eindigt en op afstand het verre uiteinde, wat voor de AWS-zijde de omgekeerde toewijzing is. Beiden kunnen gelijk hebben en toch een tunnel opleveren die nooit tot stand komt, omdat de twee woordenlijsten verschillende eindpunten beschrijven.

Herhaal de oefening op papier in de terminologie van de peer, met beide CIDR's en beide labels, voordat er een apparaat wordt aangeraakt.

Standaardwaarden zijn geen ontwerp

Dezelfde referentie noemt 0.0.0.0/0 als standaard voor beide IPv4-velden, met vergelijkbare waarden voor IPv6. Die waarden in een bestaande verbinding zien, vertelt je dat het veld nooit is vernauwd, niet dat er een internetuitgang is geconfigureerd. Routedistributie, de routetabel van het subnet en de beveiligingsmaatregelen bepalen nog steeds welk verkeer er werkelijk door kan; de CIDR-waarden beschrijven alleen welke bereiken de tunnel bereid is te selecteren.

Een nauwere waarde vervangen door de standaardwaarde is dus geen compatibiliteitstruc die je toepast wanneer een tunnel zich misdraagt. Het verbreedt de selector en laat elke andere laag precies zoals die was.

Het peerapparaat gebruikt het andere standpunt

Zodra de AWS-zijde duidelijk is, zit het grootste deel van de resterende verwarring in de peerconfiguratie. Een apparaat dat om een lokaal netwerk en een netwerk op afstand vraagt, beschrijft zijn eigen interface als lokaal, dus je VPC-bereik gaat in zijn veld op afstand en je lokale bereik in zijn lokale veld. Vraagt het in plaats daarvan om verkeersselectors in paren, dan schrijf je beide richtingen expliciet en zijn de labels minder belangrijk dan de paring.

Lees de veldhulp van het apparaat, niet de veldnamen. Fabrikanten hergebruiken dezelfde twee woorden voor drie verschillende begrippen.

Controleer daarna de tunnelstatus voor beide fasen, want een niet-passende selector verschijnt meestal als een fout in de tweede fase terwijl de eerste fase rustig blijft staan.

Wijzig de opties als een wijziging, niet als documentatie

Het bewerken van verbindingsopties op een actieve VPN kan de dienst onderbreken, dus behandel het als een onderhoudsactie met een venster, een terugdraaiwaarde en een notitie over wie het raakt. Leg eerst de huidige opties vast, inclusief beide CIDR-velden en de tunnelopties, zodat terugdraaien plakken is en geen herbouw.

Controleer na de wijziging vanaf de AWS-zijde en vanaf de peer: een bron in elk bereik die een bestemming in het andere bereikt, in beide richtingen. Eén ping vanaf één kant bewijst één selector.

Werk daarna de verbindingsdocumentatie bij met de rollen uitgeschreven, zodat de volgende persoon niet opnieuw hoeft te ontdekken dat lokaal jouw kant betekent.