CIDR local e remoto na AWS VPN: qual lado é qual?

Você abre as opções do Site-to-Site VPN, vê dois campos CIDR rotulados como local e remoto e busca o endereço que considera local: a VPC. Isso é o oposto do que a API quer dizer. Nas opções de conexão, LocalIpv4NetworkCidr nomeia o lado do gateway do cliente e RemoteIpv4NetworkCidr nomeia o lado da AWS, porque a conexão é construída a partir do gateway do cliente. O console nunca diz isso em voz alta, e nada rejeita uma troca que parece plausível.

Comece pela chamada da API, não pelo rótulo do console

Leia a referência das opções de conexão uma vez, do início ao fim, e note que cada opção é escrita do ponto de vista do gateway do cliente. Não é coincidência de nomenclatura. O túnel é descrito como aparece ao dispositivo que o encerra do seu lado, então local significa a rede atrás do seu gateway e remoto a rede atrás do gateway da AWS. Tanto os campos IPv4 quanto os IPv6 seguem a mesma regra.

Escreva os dois rótulos num papel adesivo antes de digitar qualquer coisa: lado do cliente, lado da AWS. Depois associe seus endereços a eles.

Um exemplo trabalhado com os papéis

Suponha que o prefixo local seja 10.20.0.0/16 e o prefixo da VPC seja 10.60.0.0/16. As opções leem exatamente como os papéis sugerem, com a faixa local no campo local:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Agora entregue o mesmo par a quem configura o dispositivo par e veja a armadilha disparar. Em muitos firewalls, local significa a interface onde o túnel termina e remoto o extremo distante, que é o mapeamento inverso para o lado da AWS. As duas pessoas podem estar certas e ainda assim produzir um túnel que nunca se completa, porque os dois vocabulários descrevem extremidades diferentes.

Repita o exercício no papel na terminologia do par, com os dois CIDR e os dois rótulos, antes de tocar em qualquer dispositivo.

Os valores padrão não são um projeto

A mesma referência lista 0.0.0.0/0 como padrão para os dois campos IPv4, com valores análogos para IPv6. Ver esses valores numa conexão existente diz que o campo nunca foi estreitado, não que uma saída para a internet foi configurada. A distribuição de rotas, a tabela de rotas da sub-rede e os controles de segurança ainda decidem que tráfego pode realmente passar; os valores CIDR apenas descrevem quais faixas o túnel está disposto a selecionar.

Substituir um valor mais estreito pelo padrão não é, portanto, um truque de compatibilidade que se aplique quando um túnel se comporta mal. Alarga o seletor e deixa todas as outras camadas exatamente como estavam.

O dispositivo par usa o outro ponto de vista

Depois de o lado da AWS ficar claro, a configuração do par é onde vive a maior parte da confusão restante. Um dispositivo que pede uma rede local e uma rede remota descreve a própria interface como local, então sua faixa de VPC vai no campo remoto dele e sua faixa local vai no campo local dele. Se em vez disso pedir seletores de tráfego em pares, você escreve os dois sentidos explicitamente e os rótulos importam menos que o emparelhamento.

Leia a ajuda dos campos do dispositivo, não os nomes dos campos. Os fabricantes reutilizam as mesmas duas palavras para três conceitos diferentes.

Depois verifique o estado do túnel nas duas fases, porque um seletor incompatível costuma aparecer como falha da segunda fase enquanto a primeira permanece tranquilamente estabelecida.

Mude as opções como uma mudança, não como documentação

Editar as opções de conexão numa VPN em produção pode interromper o serviço, então trate como uma ação de manutenção com janela, valor de reversão e nota de quem é afetado. Capture primeiro as opções atuais, incluindo os dois campos CIDR e as opções do túnel, para que reverter seja colar e não reconstruir.

Após a mudança, verifique do lado da AWS e do par: uma origem em cada faixa alcançando um destino na outra, nos dois sentidos. Um único ping de um lado prova apenas um seletor.

Depois atualize a documentação da conexão com os papéis escritos, para que a próxima pessoa não precise redescobrir que local significa o seu lado.