ਇੱਕ AWS VPN ਟਨਲ 'ਤੇ ਕਈ LAN: SA ਸੀਮਾ ਦਾ ਕੀ ਅਰਥ ਹੈ
AWS ਪ੍ਰਤੀ ਟਨਲ ਇੱਕ IPsec SA ਜੋੜੀ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਇੱਕ-ਸਬਨੈੱਟ ਸੀਮਾ ਨਹੀਂ ਹੈ। ਪਹਿਲਾਂ ਸੁਰੱਖਿਆ ਘੇਰੇ ਨੂੰ ਰੂਟਿੰਗ ਅਤੇ ਪਹੁੰਚ ਤੋਂ ਵੱਖ ਕਰੋ।
AWS Site-to-Site VPN ਵਿੱਚ ਦੂਜੀ ਸ਼ਾਖਾ LAN ਜੋੜਨ ਲਈ ਉਸ ਟਨਲ ਦੇ ਅੰਦਰ ਦੂਜੀ ਸੁਤੰਤਰ IPsec ਸੰਸਥਾ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ। ਜਿਸ ਸੀਮਾ 'ਤੇ ਲੋਕ ਠੋਕਰ ਖਾਂਦੇ ਹਨ ਉਹ ਅਸਲੀ ਹੈ, ਪਰ ਸੁਣਨ ਨਾਲੋਂ ਤੰਗ ਹੈ: AWS ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ ਪ੍ਰਤੀ ਟਨਲ ਇੱਕ ਵਿਲੱਖਣ IPsec SA ਜੋੜੀ, ਇੱਕ ਆਉਣ ਵਾਲੀ ਅਤੇ ਇੱਕ ਜਾਣ ਵਾਲੀ, ਅਤੇ ਇੱਕ ਕਨੈਕਸ਼ਨ ਦੀਆਂ ਦੋਵੇਂ ਟਨਲਾਂ ਨੂੰ ਆਪਣੀ-ਆਪਣੀ ਜੋੜੀ ਮਿਲਦੀ ਹੈ। ਇਹ ਸੇਵਾ ਦਾ ਗੁਣ ਹੈ, ਇਹ ਨਿਯਮ ਨਹੀਂ ਕਿ IPsec ਇੱਕ ਸਮੇਂ ਇੱਕ ਸਬਨੈੱਟ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ। ਇਹ ਫ਼ਰਕ ਸਭ ਤੋਂ ਵੱਧ ਤਦ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਨੀਤੀ-ਆਧਾਰਿਤ ਗਾਹਕ ਗੇਟਵੇ ਹਰ ਨੀਤੀ ਐਂਟਰੀ ਨੂੰ ਆਪਣੀ ਵੱਖਰੀ ਸੰਸਥਾ ਬਣਾ ਦਿੰਦਾ ਹੈ।
LAN ਸੂਚੀ ਨਾਲ ਨਹੀਂ, ਕਨੈਕਸ਼ਨ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ
ਕੰਸੋਲ ਵਿੱਚ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ ਅਤੇ ਦੇਖੋ ਕਿ ਇਹ ਕਿਵੇਂ ਰੂਟ ਹੁੰਦਾ ਹੈ। ਸਥਿਰ ਕਨੈਕਸ਼ਨ ਤੁਹਾਡੇ ਐਲਾਨੇ ਦੂਰਸਥ ਪ੍ਰੀਫਿਕਸ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ। BGP ਕਨੈਕਸ਼ਨ ਉਹ ਗਾਹਕ ਗੇਟਵੇ ਤੋਂ ਸਿੱਖਦਾ ਹੈ।
ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ, ਟਨਲ ਰੂਟ-ਆਧਾਰਿਤ ਹੈ। ਇਸ ਵਿੱਚ ਕੀ ਜਾਂਦਾ ਹੈ ਇਹ ਤੁਹਾਡੇ ਯੰਤਰ ਵੱਲੋਂ ਗੱਲਬਾਤ ਕੀਤੇ ਸਿਲੈਕਟਰ ਤੈਅ ਕਰਦੇ ਹਨ, ਫਾਰਮ ਵਿੱਚ ਲਿਖੇ ਜਾ ਸਕਣ ਵਾਲੇ ਸਬਨੈੱਟਾਂ ਦੀ ਗਿਣਤੀ ਨਹੀਂ।
ਦੇਖੋ ਗਾਹਕ ਗੇਟਵੇ ਕੀ ਗੱਲਬਾਤ ਕਰਦਾ ਹੈ
ਨੀਤੀ-ਆਧਾਰਿਤ ਯੰਤਰ ਹਰ ਨੀਤੀ ਐਂਟਰੀ ਨੂੰ ਆਪਣਾ SA ਬਣਾ ਸਕਦਾ ਹੈ। ਦੋ LAN ਦਾ ਮਤਲਬ ਦੋ ਐਂਟਰੀਆਂ, ਭਾਵ ਦੋ SA, ਅਤੇ ਇੱਥੋਂ ਹੀ ਪ੍ਰਤੀ-ਟਨਲ ਸੀਮਾ ਮਹੱਤਵਪੂਰਨ ਹੋਣ ਲੱਗਦੀ ਹੈ। ਗਾਹਕ ਗੇਟਵੇ ਦੀਆਂ ਲੋੜਾਂ ਠੀਕ ਇਸ ਵਿਵਹਾਰ ਬਾਰੇ ਚੇਤਾਵਨੀ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਯੰਤਰਾਂ 'ਤੇ ਇਕੱਤਰਿਤ ਨਿਯਮ ਸੁਝਾਉਂਦੀਆਂ ਹਨ। ਬਾਕਸ 'ਤੇ ACL ਗਿਣਤੀ ਦੀ ਬਜਾਏ ਗੱਲਬਾਤ ਕੀਤੇ ਸਿਲੈਕਟਰ ਜਾਂਚੋ।
ਯੰਤਰ ਨੂੰ ਇੱਕੋ ਨੀਤੀ ਅਧੀਨ ਦੋਵੇਂ ਪ੍ਰੀਫਿਕਸ ਪੇਸ਼ ਕਰਨ ਲਈ ਕਨਫਿਗਰ ਕਰਨਾ ਪਵੇਗਾ, ਨਹੀਂ ਤਾਂ ਦੂਰਲਾ ਸਿਰਾ ਨਤੀਜਾ ਥਾਮ ਨਹੀਂ ਸਕੇਗਾ।
ਤਿੰਨ ਇਨਵੈਂਟਰੀਆਂ, ਵੱਖਰੀਆਂ ਰੱਖੀਆਂ
ਇਹ ਤਿੰਨ ਸੂਚੀਆਂ ਮਿਲਾਓ ਅਤੇ ਹਰ ਤਬਦੀਲੀ ਅਨੁਮਾਨ ਬਣ ਜਾਂਦੀ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਵੱਖਰੇ ਕਾਲਮ ਰੱਖੋ ਅਤੇ ਆਪਣੇ ਨੈੱਟਵਰਕ ਲਈ ਹਰ ਇੱਕ ਭਰੋ।
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
ਕੇਵਲ ਵਿਚਕਾਰਲਾ ਕਾਲਮ SA ਸੀਮਾ ਨਾਲ ਸੀਮਿਤ ਹੈ। ਪਹਿਲਾ ਕਾਲਮ ਕਾਰੋਬਾਰੀ ਤੱਥ ਹੈ, ਅਤੇ ਤੀਜਾ ਕਾਲਮ ਉਹ ਹੈ ਜੋ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ। ਤੁਸੀਂ ਲਿਖੀਆਂ ACL ਲਾਈਨਾਂ ਦੀ ਗਿਣਤੀ ਤੋਂ ਕਵਰੇਜ ਦਾ ਅਨੁਮਾਨ ਲਾਉਣ ਦੀ ਬਜਾਏ ਯੰਤਰ 'ਤੇ ਸਵੀਕਾਰ ਕੀਤੇ ਸਿਲੈਕਟਰ ਪੜ੍ਹੋ।
ਇਜਾਜ਼ਤ ਵਧਾਏ ਬਿਨਾਂ ਇਕੱਠਾ ਕਰੋ
ਸੰਖੇਪ ਰੂਟ ਇੱਕ ਨੀਤੀ ਐਂਟਰੀ ਪ੍ਰਾਪਤ ਕਰਨ ਦਾ ਸਪੱਸ਼ਟ ਤਰੀਕਾ ਹੈ, ਅਤੇ ਇਹ ਉਹ ਤਰੀਕਾ ਵੀ ਹੈ ਜਿਸ ਨਾਲ ਸੁਰੱਖਿਅਤ ਸਮੂਹ ਚੁੱਪਚਾਪ ਵਧਦਾ ਹੈ। ਦੋਵੇਂ /24 ਨੂੰ ਢਕਣ ਵਾਲਾ /20 ਉਹ ਪਤੇ ਵੀ ਢਕਦਾ ਹੈ ਜੋ ਕੋਈ ਵੀ ਸ਼ਾਖਾ ਨਹੀਂ ਵਰਤਦੀ, ਅਤੇ ਟਨਲ ਉਹਨਾਂ ਨੂੰ ਖੁਸ਼ੀ ਨਾਲ ਲੈ ਜਾਵੇਗਾ। ਜੇ ਸੰਖੇਪ ਕਰਨਾ ਹੀ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਪਾਸੇ ਫਿਲਟਰਿੰਗ ਨਾਲ ਜੋੜੋ ਤਾਂ ਜੋ ਵਾਧੂ ਥਾਂ ਸਿਰਫ਼ ਐਲਾਨ ਨ ਕਰਨ ਦੀ ਬਜਾਏ ਰੱਦ ਹੋਵੇ। ਰੱਦ ਕੀਤਾ ਪੈਕਟ ਪਰਮਾਣ ਹੈ। ਬਿਨਾਂ ਐਲਾਨ ਕੀਤਾ ਪਤਾ ਪਰਮਾਣ ਦੀ ਗੈਰਹਾਜ਼ਰੀ ਮਾਤਰ ਹੈ।
ਸੁਰੱਖਿਆ ਨੀਤੀ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਇਸ ਵਿੱਚ ਤਬਦੀਲੀ ਹੈ ਕਿ ਕੀ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਦੇਣਾ ਨਹੀਂ ਹੈ ਅਤੇ ਇਸਨੂੰ ਉਸ ਤਰ੍ਹਾਂ ਨਹੀਂ ਲੈਣਾ ਚਾਹੀਦਾ।
ਦੋਵੇਂ LAN ਦੀ ਜਾਂਚ ਕਰੋ, ਫੇਰ ਦੋਵੇਂ ਟਨਲ ਰੱਖੋ
ਸੰਯੋਜਿਤ ਤਬਦੀਲੀ ਤੋਂ ਬਾਅਦ ਸਰਗਰਮ ਸੁਰੱਖਿਆ ਘੇਰੇ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਫੇਰ ਹਰ LAN ਤੋਂ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਚਲਾਓ। ਇੱਕ ਸਬਨੈੱਟ ਦਾ ਕੰਮ ਕਰਨਾ ਦੂਜੇ ਦੀ ਸਿਲੈਕਟਰ ਕਵਰੇਜ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਇਸਦੇ ਜਵਾਬ ਮਾਰਗ ਬਾਰੇ ਤਾਂ ਹੋਰ ਵੀ ਘੱਟ।
ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਦੋਵੇਂ ਟਨਲ ਰੱਖੋ। ਨੀਤੀ ਇਕੱਠੀ ਕਰਨਾ ਰਿਡੰਡੈਂਸੀ ਸੁੱਟਣ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ, ਅਤੇ ਹਰ ਸ਼ਾਖਾ LAN ਲੈ ਜਾਣ ਵਾਲੀ ਇੱਕ ਟਨਲ ਅਗਲੀ ਰੱਖ-ਰਖਾਅ ਵਿੰਡੋ ਨੂੰ ਰੁਕਾਵਟ ਬਣਾ ਦਿੰਦੀ ਹੈ।
ਗੱਲਬਾਤ ਕੀਤੇ ਸਿਲੈਕਟਰ, ਦੋਵੇਂ ਪ੍ਰੀਫਿਕਸ ਅਤੇ ਰੂਟ ਮਾਲਕਾਂ ਨੂੰ ਇੱਕੋ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ। ਜਦੋਂ ਤੀਜਾ LAN ਆਵੇਗਾ, ਉਹ ਰਿਕਾਰਡ ਤੁਹਾਨੂੰ ਦੱਸੇਗਾ ਕਿ ਤੁਸੀਂ ਸਿਲੈਕਟਰ ਜੋੜ ਰਹੇ ਹੋ ਜਾਂ ਨਵੇਂ ਸਿਰਿਓਂ ਸ਼ੁਰੂ ਕਰ ਰਹੇ ਹੋ।