AWS Site-to-Site VPN: بهر، دننه او LAN مخکښه

د AWS Site-to-Site VPN ډېری تېروتنې د پتې تېروتنې دي، او هغه مخکې له دې چې کومه کڅوړه حرکت وکړي رامنځته کېږي. د تونل بهرنۍ پتې IPsec ملګرو ته رسېږي، دنننۍ پتې د هغوی ترمنځ د لارښوونې تړاو جوړوي، او ساتل شوي مخکښې هغه څه دي چې دا تړاو د هغوی لپاره دی. یوه رول په بله کې کاپي کړئ، تونل پورته راځي خو هېڅ شی لارښوونه نه کېږي. دا هغه لوستل-کتل-تنظیم کړه ترتیب دی چې زه یې په BGP پېرېدونکي دروازه کې کاروم، او ارزښتونه له یادښت نه نه، بلکې له ډاونلوډ شوې وسیلې ترتیب څخه اخیستل شوي.

درې پتې رولونه، یو تونل

بهرنۍ پتې عامې دي او د IPsec ملګرو پورې اړه لري: په AWS خوا کې د هر تونل لپاره یوه، او ستاسو په خوا کې د پېرېدونکي دروازې د رسېدو وړ هویت، ستاسو د واقعي NAT ترتیب سره سمون لري. دنننۍ پتې خصوصي دي او د منطقي تړاو پورې اړه لري، چې AWS هغه د 169.254.0.0/16 څخه اخیستل شوی /30 بولي. ساتل شوي مخکښې هغه VPC، سیمه ییز یا ټرانزیټ شبکه دي چې تاسو یې د هغه تړاو له لارې لارښوونه او اعلان کوئ.

د تونل د برخې پتې په توګه د LAN مخکښې ټاکل د دې تېروتنې کلاسیک بڼه ده. برخه تنظیم شوې ښکاري، LAN نه اعلانېږي، او بلې خوا ته د هغې لپاره لار نشته. تونل کولای شي خپله دنننۍ ping هم تېره کړي، خو هر اپلیکیشن نوم وخت تېرېږي. د تونل د انتخابونو مرجع دنننۍ CIDR بندیزونه لیستوي، په شمول هغه پتې لړ چې باید له هغې څخه وي.

ارزښتونه له ډاونلوډ شوې ترتیب څخه ولولئ

د خپل ځانګړي وسیلې ماډل لپاره ترتیب له اړیکې څخه ډاونلوډ کړئ، بیا د هغې پتې جدول د حقیقت سرچینه وګڼئ. کنسول د هر تونل لپاره ورته ارزښتونه ښیي: بهرنۍ IP، دنننۍ CIDR او په AWS خوا کې د BGP ملګري پته. دواړه تونلونه جلا شیان دي، جلا بهرني پای ټکي او جلا دنننۍ /30 سره، که څه هم دواړه ورته ساتل شوې شبکې وړي.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

که ډاونلوډ شوې فایل او ژوندی کنسول سره سمون نه خوري، فایل زوړ دی. د پتو لاسي سمون پرځای بیا ډاونلوډ کړئ، ځکه چې د دنننۍ جوړې او د ملګري تنظیم شوي ګاونډي ترمنځ توپیر خاموشه BGP ناکامي ده.

تړاو په سمه پته جوړ کړئ

په Linux دروازه کې تونل VTI یا XFRM برخه ده، او دنننۍ /30 پر هماغه برخه ږدي. دوه تونلونه دوه برخې او دوه BGP ګاونډیان معنا لري، د هر AWS پای ټکي لپاره یو. هغه کړنلاره چې AWS په ډاونلوډ شوې وسیلې ترتیب کې چاپوي، مجازي خصوصي دروازه پر هرې دنننۍ /30 لومړنۍ پته او ستاسو پېرېدونکې دروازه پر دوهمه ږدي، نو تاسو لوړه پته اخلئ او له ټیټې سره ملګرې کېږئ. دلته هېڅ شی LAN پتې ته اړتیا نه لري.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

که ستاسو د وسیلې ماډل فایل مخالف جوړه چاپوي، د هغې شمېرې وکاروئ او قاعده وساتئ: پر برخه پته ستاسو ده، د ملګري پته AWS پورې اړه لري. دا په مخالف ډول کول هغه تونل جوړوي چې هېڅکله Established ته نه رسېږي، ځکه چې هغه ګاونډی چې تاسو تنظیم کړی هغه پته ده چې ستاسو خپله برخه یې لا دمخه لري.

نښه او VTI کیلي د هغه څه سره سم وساتئ چې IKE ډیمون یې د ماشوم SA برخې سره تړلو لپاره کاروي، که نه نو ترافیک پر تونل راځه خو د کېنستلو برخه نه وي. MTU د لارې او د IKE ډیمون خپلو تنظیماتو پر وړاندې وګورئ، نه له بلې سایټ څخه شمېره کاپي کړئ.

له لارو څخه مخکې BGP وګورئ

د IPsec پورته کېدل یوازې دا ثابتوي چې ملګري پر یوه امنیتي ټولنه سره یوځای دي، نور هېڅ نه. د BGP غونډه پر دنننۍ تړاو جلا خبرې اترې ده، نو د ګاونډي حالت او د مخکښو شمېرونکي ولولئ، بیا د هغه څه سره پرتله کړئ چې اعلانول مو غوښتل.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Established حالت او صفر ترلاسه شوې مخکښې د تګلارې یا اعلان ستونزه ده، نه د تونل. ټول تفتیش پر دوهم تونل بیا کړئ؛ کار کوونکی لومړی تونل وایي چې پتې باوري دي، نه دا چې دوهم تونل هم تنظیم شوی دی.

د لارښوونې شوې کڅوړې تعقیب وکړئ، بیا ودرېږئ

کله چې غونډه مخکښې وړي، له دروازې څخه په دواړو لورو لاره وآزمویئ: سرچینه پته، بله ورځه او هغه امنیتي تګلاره چې ترافیک ته اجازه ورکوي. د BGP غونډه پورته کېدای شي خو هغه ځانګړې مخکښه چې ستاسو اپلیکیشن ته ورته اړتیا ده فلټر شوې، لنډه شوې یا ناسمې برخې ته اشاره کوي.

Reachability Analyzer د AWS خوا وسیله ده، چې سرچینه، منزل او لاره اخلي او وایي چې په ملاتړ شوې ترتیب کې کومه برخه دا بنده کړه. دا د VPC څخه ستاسو د پېرېدونکي دروازې پتې پورې لاره آزموي، نه د اپلیکیشن کوربه څخه. دا ترتیب تحلیلوي او کڅوړه د سیمه ییز اور وژونکي له لارې نه لېږي، نو د هغې پریکړه ستاسو د برخې شمېرونکو او کڅوړو نیولو څخه جلا وساتئ.

د هر تونل بهرنۍ جوړه، دنننۍ /30 او اعلان شوې مخکښې په یوه جدول کې ولیکئ. هماغه جدول بل بدلون د بیاکتنې وړ ګرځوي.