Lokalni i udaljeni CIDR u AWS VPN-u: koja je strana koja?

Otvorite mogućnosti Site-to-Site VPN, vidite dva polja CIDR označena kao lokalno i udaljeno i posegnete za adresom koju smatrate lokalnom: VPC. To je obrnuto od onoga što API znači. U mogućnostima veze LocalIpv4NetworkCidr označava stranu korisničkog pristupnika, a RemoteIpv4NetworkCidr stranu AWS-a, jer se veza gradi s korisničkog pristupnika. Konzola to nikada ne kaže naglas i ništa ne odbija uvjerljivo izgledajuću zamjenu.

Počnite od poziva API-ja, a ne od oznake u konzoli

Pročitajte referencu mogućnosti veze jednom cijelu i primijetite da je svaka mogućnost napisana iz perspektive korisničkog pristupnika. To nije slučajnost u nazivlju. Tunel se opisuje onako kako ga vidi uređaj koji ga završava na vašoj strani, pa lokalno znači mrežu iza vašeg pristupnika, a udaljeno mrežu iza AWS-ovog pristupnika. I polja IPv4 i IPv6 slijede isto pravilo.

Napišite dvije oznake na papirić prije nego što bilo što upišete: strana korisnika, strana AWS-a. Zatim na njih preslikajte svoje adrese.

Razrađen primjer s pridruženim ulogama

Pretpostavimo da je lokalni prefiks 10.20.0.0/16, a prefiks VPC-a 10.60.0.0/16. Mogućnosti se čitaju točno kako uloge sugeriraju, s lokalnim rasponom u lokalnom polju:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Sada predajte isti par onome tko konfigurira partnerski uređaj i gledajte kako se zamka aktivira. Na mnogim vatrozidima lokalno znači sučelje na kojem tunel završava, a udaljeno znači udaljeni kraj, što je obrnuto preslikavanje za stranu AWS-a. Obje osobe mogu biti u pravu i ipak proizvesti tunel koji se nikada ne uspostavi, jer dva rječnika opisuju različite krajnje točke.

Ponovite vježbu na papiru u terminologiji partnera, s oba CIDR-a i obje oznake, prije nego što dotaknete bilo koji uređaj.

Zadane vrijednosti nisu dizajn

Ista referenca navodi 0.0.0.0/0 kao zadanu vrijednost za oba polja IPv4, s analognim vrijednostima za IPv6. Kada te vrijednosti vidite u postojećoj vezi, to znači da polje nikada nije suženo, a ne da je konfiguriran internetski izlaz. Distribucija ruta, tablica ruta podmreže i sigurnosne kontrole i dalje odlučuju koji promet stvarno može prijeći; vrijednosti CIDR-a samo opisuju koje je raspone tunel spreman birati.

Zamjena užeg raspona zadanom vrijednošću stoga nije trik za kompatibilnost koji možete primijeniti kada se tunel ponaša loše. Ona proširuje selektor i ostavlja svaki drugi sloj točno onakvim kakav je bio.

Partnerski uređaj koristi drugu perspektivu

Kad je strana AWS-a jasna, konfiguracija partnera je mjesto gdje živi većina preostale zbrke. Uređaj koji traži lokalnu mrežu i udaljenu mrežu opisuje vlastito sučelje kao lokalno, pa vaš raspon VPC-a ide u njegovo udaljeno polje, a vaš lokalni raspon u njegovo lokalno polje. Ako pak traži prometne selektore u parovima, vi pišete oba smjera izričito i oznake su manje važne od uparivanja.

Čitajte pomoć za polja uređaja, a ne nazive njegovih polja. Proizvođači koriste iste dvije riječi za tri različita pojma.

Zatim provjerite stanje tunela za obje faze, jer se neusklađeni selektor obično pojavljuje kao neuspjeh druge faze dok prva faza mirno stoji uspostavljena.

Mijenjajte mogućnosti kao promjenu, a ne kao dokumentaciju

Uređivanje mogućnosti veze na aktivnom VPN-u može prekinuti uslugu, pa tome pristupajte kao održavanju s vremenskim okvirom, vrijednošću za vraćanje i zabilješkom o tome koga se tiče. Najprije zabilježite trenutne mogućnosti, uključujući oba polja CIDR i mogućnosti tunela, kako bi vraćanje bilo lijepljenje, a ne ponovna izgradnja.

Nakon promjene provjerite sa strane AWS-a i sa strane partnera: izvor u svakom rasponu doseže odredište u drugom, u oba smjera. Jedan ping s jedne strane dokazuje jedan selektor.

Zatim ažurirajte dokumentaciju veze s ispisanim ulogama, kako sljedeća osoba ne bi morala ponovno otkriti da lokalno znači vaša strana.