CIDR local și la distanță în AWS VPN: care parte este care?

Deschideți opțiunile Site-to-Site VPN, vedeți două câmpuri CIDR etichetate local și la distanță și întindeți mâna spre adresa pe care o considerați locală: VPC-ul. Este inversul a ceea ce înseamnă API-ul. În opțiunile de conexiune, LocalIpv4NetworkCidr numește partea gateway-ului clientului, iar RemoteIpv4NetworkCidr partea AWS, deoarece conexiunea se construiește din gateway-ul clientului. Consola nu spune niciodată asta cu voce tare și nimic nu respinge o inversare care pare plauzibilă.

Începeți cu apelul API, nu cu eticheta din consolă

Citiți referința opțiunilor de conexiune o dată, până la capăt, și observați că fiecare opțiune este scrisă din perspectiva gateway-ului clientului. Nu este o coincidență de denumire. Tunelul este descris așa cum îl vede dispozitivul care îl termină de partea dvs., deci local înseamnă rețeaua din spatele gateway-ului dvs., iar la distanță rețeaua din spatele gateway-ului AWS. Atât câmpurile IPv4, cât și cele IPv6 urmează aceeași regulă.

Scrieți cele două etichete pe un bilet de hârtie înainte de a tasta ceva: partea clientului, partea AWS. Apoi asociați-vă adresele cu ele.

Un exemplu lucrat cu rolurile atașate

Să presupunem că prefixul local este 10.20.0.0/16, iar prefixul VPC este 10.60.0.0/16. Opțiunile se citesc exact cum sugerează rolurile, cu intervalul local în câmpul local:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Acum dați aceeași pereche persoanei care configurează dispozitivul pereche și urmăriți cum se declanșează capcana. Pe multe firewall-uri, local înseamnă interfața pe care se termină tunelul, iar la distanță capătul îndepărtat, ceea ce este maparea inversă pentru partea AWS. Ambele persoane pot avea dreptate și totuși să producă un tunel care nu se stabilește niciodată, pentru că cele două vocabulare descriu capete diferite.

Repetați exercițiul pe hârtie în terminologia perechii, cu ambele CIDR și ambele etichete, înainte de a atinge vreun dispozitiv.

Valorile implicite nu sunt un proiect

Aceeași referință listează 0.0.0.0/0 ca valoare implicită pentru ambele câmpuri IPv4, cu valori analoge pentru IPv6. Vederea acestor valori într-o conexiune existentă vă spune că câmpul nu a fost îngustat niciodată, nu că a fost configurată o ieșire în internet. Distribuția rutelor, tabelul de rute al subrețelei și controalele de securitate decid în continuare ce trafic poate trece de fapt; valorile CIDR descriu doar ce intervale este dispus tunelul să selecteze.

Înlocuirea unei valori mai înguste cu valoarea implicită nu este, așadar, un truc de compatibilitate de aplicat când un tunel se comportă greșit. Lărgește selectorul și lasă fiecare alt strat exact cum era.

Dispozitivul pereche folosește cealaltă perspectivă

Odată ce partea AWS este clară, configurația perechii este locul unde stă cea mai mare parte a confuziei rămase. Un dispozitiv care cere o rețea locală și o rețea la distanță își descrie propria interfață ca locală, deci intervalul VPC al dvs. merge în câmpul său la distanță, iar intervalul local merge în câmpul său local. Dacă în schimb cere selectori de trafic în perechi, scrieți ambele direcții explicit și etichetele contează mai puțin decât împerecherea.

Citiți ajutorul câmpurilor dispozitivului, nu numele câmpurilor. Producătorii refolosesc aceleași două cuvinte pentru trei concepte diferite.

Apoi verificați starea tunelului pentru ambele faze, deoarece un selector nepotrivit apare de obicei ca o eșec în a doua fază, în timp ce prima fază rămâne calm stabilită.

Schimbați opțiunile ca pe o schimbare, nu ca pe o documentație

Editarea opțiunilor de conexiune pe un VPN activ poate întrerupe serviciul, așa că tratați-o ca pe o acțiune de mentenanță cu fereastră, valoare de revenire și o notă despre cine este afectat. Înregistrați mai întâi opțiunile curente, inclusiv ambele câmpuri CIDR și opțiunile tunelului, ca revenirea să fie o lipire, nu o reconstrucție.

După schimbare, verificați din partea AWS și de la pereche: o sursă din fiecare interval ajunge la o destinație din celălalt, în ambele direcții. Un singur ping dintr-o parte demonstrează un singur selector.

Apoi actualizați documentația conexiunii cu rolurile scrise, ca următoarea persoană să nu trebuiască să redescopere că local înseamnă partea dvs.