Несколько LAN в одном туннеле AWS VPN: что означает лимит SA
AWS разрешает одну пару IPsec SA на туннель, и это не ограничение на одну подсеть. Сначала отделите область защиты от маршрутизации и доступа.
Добавление второй сети LAN филиала в AWS Site-to-Site VPN не требует второй независимой ассоциации IPsec внутри этого туннеля. Ограничение, о которое спотыкаются люди, реально, но уже, чем кажется: AWS документирует одну уникальную пару IPsec SA на туннель, одну входящую и одну исходящую, и два туннеля в одном соединении получают каждый свою пару. Это свойство сервиса, а не правило, что IPsec защищает одну подсеть за раз. Различие важнее всего, когда шлюз клиента на основе политик превращает каждую запись политики в отдельную ассоциацию.
Начните с соединения, а не со списка LAN
Откройте соединение в консоли и обратите внимание, как оно маршрутизируется. Статическое соединение несёт удалённые префиксы, которые вы объявили. Соединение BGP узнаёт их от шлюза клиента.
Так или иначе, туннель основан на маршрутах. Что в него попадает, определяют селекторы, которые согласовывает ваше устройство, а не число подсетей, которые можно ввести в форму.
Следите за тем, что согласовывает шлюз клиента
Устройство на основе политик может превратить каждую запись политики в собственную SA. Две сети LAN означают две записи, то есть две SA, и здесь лимит на туннель начинает иметь значение. Требования к шлюзу клиента предупреждают именно о таком поведении и предлагают объединённые правила на таких устройствах. Проверяйте согласованные селекторы, а не количество ACL на устройстве.
Устройство должно быть настроено так, чтобы представлять оба префикса в рамках одной политики, иначе удалённая сторона просто не удержит результат.
Три инвентаризации, которые ведутся отдельно
Смешайте эти три списка, и любое изменение станет догадкой. Держите их отдельными колонками и заполняйте каждую для своей сети.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Лимитом SA ограничена только средняя колонка. Первая колонка — бизнес-факт, а третья — то, что заставляет приложение работать. Читайте принятые селекторы на устройстве, вместо того чтобы выводить покрытие из числа написанных вами строк ACL.
Консолидируйте, не расширяя разрешение
Суммарный маршрут — очевидный способ получить одну запись политики, и он же — способ, которым защищённое множество тихо растёт. /20, покрывающий обе /24, покрывает и адреса, которые не использует ни один филиал, и туннель охотно их перенесёт. Если нужно суммаризировать, свяжите это с фильтрацией на принимающей стороне, чтобы лишнее пространство отклонялось, а не просто не объявлялось. Отклонённый пакет — это доказательство. Необъявленный адрес — лишь отсутствие доказательства.
Консолидация политики защиты — это изменение того, что может быть зашифровано. Это не предоставление доступа, и так к этому относиться не следует.
Проверьте обе сети LAN, а затем сохраните оба туннеля
После согласованного изменения проверьте активную область защиты, а затем запустите реальное приложение из каждой сети LAN. Работа одной подсети ничего не доказывает о покрытии селекторов второй и тем более о её обратном пути.
Сохраните оба туннеля в проекте. Консолидация политики не даёт права отказываться от резервирования, а один туннель, несущий каждую сеть LAN филиала, превращает следующее окно обслуживания в простой.
Запишите согласованные селекторы, оба префикса и владельцев маршрутов в одну и ту же запись изменений. Когда появится третья сеть LAN, эта запись скажет, добавляете ли вы селектор или начинаете заново.