Várias LAN num único túnel VPN AWS: o que significa o limite de SA

Adicionar uma segunda LAN de filial a uma VPN site a site da AWS não exige uma segunda associação IPsec independente dentro desse túnel. O limite com que as pessoas tropeçam é real, mas mais estreito do que parece: a AWS documenta um par único de IPsec SA por túnel, um de entrada e um de saída, e os dois túneis de uma conexão recebem cada um o seu próprio par. Isso é uma propriedade do serviço, não uma regra de que o IPsec protege uma sub-rede por vez. A distinção importa mais quando um gateway de cliente baseado em políticas transforma cada entrada de política na sua própria associação.

Comece pela conexão, não pela lista de LAN

Abra a conexão no console e observe como ela é roteada. Uma conexão estática carrega os prefixos remotos que você declarou. Uma conexão BGP os aprende do gateway de cliente.

De qualquer forma, o túnel é baseado em rotas. O que entra nele é decidido pelos seletores que o dispositivo negocia, não pelo número de sub-redes que você consegue digitar em um formulário.

Observe o que o gateway de cliente negocia

Um dispositivo baseado em políticas pode transformar cada entrada de política na sua própria SA. Duas LANs significam duas entradas, o que significa duas SAs, e é aí que o limite por túnel começa a importar. Requisitos do gateway de cliente advertem exatamente sobre esse comportamento e sugerem regras consolidadas nesses dispositivos. Verifique os seletores negociados em vez da contagem de ACLs no equipamento.

O dispositivo deve ser configurado para apresentar os dois prefixos sob uma única política, ou o lado remoto simplesmente não conseguirá manter o resultado.

Três inventários, mantidos separados

Misture essas três listas e toda mudança vira adivinhação. Mantenha-as como colunas separadas e preencha cada uma para a sua própria rede.

Apenas a coluna do meio é restringida pelo limite de SA. A primeira coluna é um fato de negócio, e a terceira é o que faz uma aplicação funcionar. Leia os seletores aceitos no dispositivo em vez de inferir cobertura pelo número de linhas de ACL que você escreveu.

Consolide sem ampliar a permissão

Uma rota resumida é a forma óbvia de obter uma entrada de política, e também é como um conjunto protegido cresce silenciosamente. Um /20 que cobre ambas as /24 também cobre endereços que nenhuma das filiais usa, e o túnel os carregará de bom grado. Se você precisar resumir, combine com filtragem no lado receptor para que o espaço extra seja recusado em vez de apenas não anunciado. Um pacote recusado é evidência. Um endereço não anunciado é apenas ausência de evidência.

Consolidar a política de proteção é uma mudança no que pode ser criptografado. Não é uma concessão de acesso e não deve ser tratada como tal.

Teste as duas LANs e depois mantenha os dois túneis

Após uma mudança coordenada, inspecione o escopo de proteção ativo e depois execute uma aplicação real a partir de cada LAN. Uma sub-rede funcionando não prova nada sobre a cobertura de seletores da segunda, e muito menos sobre o caminho de resposta dela.

Mantenha os dois túneis no projeto. Consolidar política não é permissão para descartar redundância, e um único túnel carregando cada LAN de filial transforma a próxima janela de manutenção em uma interrupção.

Escreva os seletores negociados, os dois prefixos e os donos das rotas no mesmo registro de mudanças. Quando uma terceira LAN chegar, esse registro dirá se você está adicionando um seletor ou começando de novo.