AWS Site-to-Site VPN: බාහිර, අභ්‍යන්තර සහ LAN පූර්වලේඛනය

AWS Site-to-Site VPN හි බොහෝ වැරදි ලිපින වැරදි වන අතර, කිසිදු පැකට්ටුවක් චලනය වීමට පෙර ඒවා සිදු වේ. ටනලයේ බාහිර ලිපින IPsec සමූහයන් වෙත ළඟා වේ, අභ්‍යන්තර ලිපින ඒවා අතර මාර්ගගත කිරීමේ සබැඳිය සාදයි, සහ ආරක්ෂිත පූර්වලේඛන යනු එම සබැඳිය ඒ සඳහා ය. එක් භූමිකාවක් තවත් එකකට පිටපත් කරන්න, කිසිවක් මාර්ගගත නොවන අතරම ටනලය ඉහළ යයි. BGP පාරිභෝගික ද්වාරයේ මා භාවිතා කරන කියවන්න-පරීක්ෂා කරන්න-වින්‍යාස කරන්න අනුපිළිවෙල මෙයයි, අගයන් මතකයෙන් නොව බාගත කළ උපාංග වින්‍යාසයෙන් ගන්නා ලදී.

ලිපින භූමිකා තුනක්, එක් ටනලයක්

බාහිර ලිපින පොදු වන අතර IPsec සමූහයන්ට අයත් වේ: AWS පැත්තේ එක් ටනලයකට එකක්, සහ ඔබේ පැත්තේ පාරිභෝගික ද්වාරයේ ළඟා විය හැකි අනන්‍යතාව, ඔබට ඇති සැබෑ NAT සැලැස්මට ගැලපෙන පරිදි. අභ්‍යන්තර ලිපින පෞද්ගලික වන අතර තාර්කික සබැඳියට අයත් වේ, එය AWS 169.254.0.0/16 වෙතින් ගත් /30 ලෙස ලේඛනගත කරයි. ආරක්ෂිත පූර්වලේඛන යනු එම සබැඳිය හරහා ඔබ මාර්ගගත කර ප්‍රකාශ කරන VPC, ස්ථානීය හෝ සංක්‍රාන්ති ජාල වේ.

ටනල අතුරුමුහුණතේ ලිපිනය ලෙස LAN පූර්වලේඛනයක් පැවරීම මෙම වැරැද්දේ සම්භාව්‍ය ආකාරයයි. අතුරුමුහුණත වින්‍යාස කර ඇති බව පෙනේ, LAN ප්‍රකාශ නොවේ, සහ අනෙක් පැත්තට ඒ සඳහා මාර්ගයක් නැත. ටනලයට තමන්ගේම අභ්‍යන්තර ping පවා පසු කළ හැක, නමුත් සෑම යෙදුම් නාමයක්ම කාල සීමාව ඉක්මවයි. ටනල විකල්ප සන්දර්ශය අභ්‍යන්තර CIDR හි සීමා ලැයිස්තුගත කරයි, එය කුමන ලිපින පරාසයකින් ආ යුතු ද ඇතුළුව.

අගයන් බාගත කළ වින්‍යාසයෙන් කියවන්න

සම්බන්ධතාවයෙන් ඔබේ නිශ්චිත උපාංග ආකෘතිය සඳහා වින්‍යාසය බාගන්න, පසුව එහි ලිපින වගුව සත්‍යයේ මූලාශ්‍රය ලෙස සලකන්න. කොන්සෝලය එක් ටනලයකට එම අගයන්ම පෙන්වයි: බාහිර IP, අභ්‍යන්තර CIDR, සහ AWS පැත්තේ BGP සමූහ ලිපිනය. ටනල දෙක වෙන වෙන වස්තු වන අතර වෙන වෙන බාහිර අන්ත ලක්ෂ්‍ය සහ වෙන වෙන අභ්‍යන්තර /30 සහිතය, දෙකම එකම ආරක්ෂිත ජාල ගෙන යන නමුත්.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

බාගත කළ ගොනුව සහ සජීවී කොන්සෝලය නොගැලපේ නම්, ගොනුව පැරණිය. ලිපින අතින් සංස්කරණය කරනවාට වඩා නැවත බාගන්න, මන්ද අභ්‍යන්තර යුගලය සහ සමූහයේ වින්‍යාස කළ අසල්වැසියා අතර වෙනස නිහඬ BGP අසාර්ථකත්වයකි.

නිවැරදි ලිපිනය සමඟ සබැඳිය සාදන්න

Linux ද්වාරයේ ටනලය VTI හෝ XFRM අතුරුමුහුණතක් වන අතර, අභ්‍යන්තර /30 එම අතුරුමුහුණතට යයි. ටනල දෙකක් යනු අතුරුමුහුණත් දෙකක් සහ BGP අසල්වැසියන් දෙදෙනෙක්, එක් AWS අන්ත ලක්ෂ්‍යයකට එක් අයෙක්. AWS බාගත කළ උපාංග වින්‍යාසයේ මුද්‍රණය කරන සම්මුතිය අතථ්‍ය පෞද්ගලික ද්වාරය සෑම අභ්‍යන්තර /30 ක පළමු ලිපිනයට ද ඔබේ පාරිභෝගික ද්වාරය දෙවැන්නට ද තබයි, එබැවින් ඔබ ඉහළ ලිපිනය ගෙන පහළ එක සමඟ සමූහ වේ. මෙහි කිසිවකට LAN ලිපිනයක් අවශ්‍ය නැත.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

ඔබේ උපාංග ආකෘතියේ ගොනුව ප්‍රතිවිරුද්ධ යුගලය මුද්‍රණය කරන්නේ නම්, එහි සංඛ්‍යා භාවිතා කර රීතිය රකින්න: අතුරුමුහුණතේ ලිපිනය ඔබේය, සමූහ ලිපිනය AWS හි ය. මෙය ප්‍රතිවිරුද්ධ කිරීමෙන් කිසි විටෙක Established වෙත නොපැමිණෙන ටනලයක් සාදයි, මන්ද ඔබ වින්‍යාස කළ අසල්වැසියා යනු ඔබේම අතුරුමුහුණත දැනටමත් ඇති ලිපිනයයි.

mark සහ VTI යතුර IKE ඩීමන් දරු SA අතුරුමුහුණතට බැඳීමට භාවිතා කරන දෙය සමඟ ගැලපෙන ලෙස තබන්න, නැතිනම් රථවාහන ටනලයට පැමිණෙයි නමුත් ගොඩ බැසීමට අතුරුමුහුණතක් නැත. වෙනත් අඩවියකින් සංඛ්‍යාවක් පිටපත් කරනවාට වඩා MTU මාර්ගයට සහ IKE ඩීමන්ගේම සැකසුම්වලට එරෙහිව පරීක්ෂා කරන්න.

මාර්ග පරීක්ෂා කිරීමට පෙර BGP පරීක්ෂා කරන්න

IPsec ඉහළ යාම සමූහයන් ආරක්ෂක සංගමයක් පිළිබඳ එකඟ වූ බව පමණක් ඔප්පු කරයි, තවත් කිසිවක් නොවේ. BGP සැසිය අභ්‍යන්තර සබැඳිය හරහා වෙනම සාකච්ඡාවකි, එබැවින් අසල්වැසියාගේ තත්ත්වය සහ පූර්වලේඛන ගණන් කරන්නන් කියවා, පසුව ඔබ ප්‍රකාශ කිරීමට අදහස් කළ දෙය සමඟ සසඳන්න.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Established තත්ත්වය සහ ශුන්‍ය පූර්වලේඛන ලැබීම ප්‍රතිපත්ති හෝ ප්‍රකාශන ගැටලුවකි, ටනල ගැටලුවක් නොවේ. සම්පූර්ණ පරීක්ෂාව දෙවන ටනලයේ නැවත කරන්න; ක්‍රියා කරන පළමු ටනලය ලිපින විශ්වාසදායක බව කියයි, දෙවන ටනලය කිසිසේත් වින්‍යාස කර ඇති බව නොවේ.

මාර්ගගත පැකට්ටුවක් අනුගමනය කරන්න, පසුව නවත්වන්න

සැසිය පූර්වලේඛන ගෙන යන විට, ද්වාරයේ සිට දිශා දෙකෙන්ම මාර්ගය පරීක්ෂා කරන්න: මූලාශ්‍ර ලිපිනය, ඊළඟ පිම්ම, සහ රථවාහනයට අවසර දෙන ආරක්ෂක ප්‍රතිපත්තිය. BGP සැසිය ඉහළ තිබිය හැකි අතරම ඔබේ යෙදුමට අවශ්‍ය නිශ්චිත පූර්වලේඛනය පෙරන ලද, සාරාංශගත කළ හෝ වැරදි අතුරුමුහුණතට යොමු කළ විය හැක.

Reachability Analyzer යනු AWS පැත්තේ මෙවලම වන අතර, එය මූලාශ්‍රයක්, ගමනාන්තයක් සහ මාර්ගයක් ගෙන සහාය දක්වන වින්‍යාසයක කුමන සංරචකය එය අවහිර කළේ ද යන්න වාර්තා කරයි. VPC සිට ඔබේ පාරිභෝගික ද්වාර ලිපිනය දක්වා මාර්ගය පරීක්ෂා කිරීමට එය භාවිතා කරන්න, යෙදුම් සත්කාරකයකින් නොවේ. එය වින්‍යාසය විශ්ලේෂණය කරන අතර ස්ථානීය ගිනි පවුරක් හරහා පැකට්ටුවක් නොයවයි, එබැවින් එහි තීන්දුව ඔබේම අතුරුමුහුණත ගණන් කරන්නන් සහ පැකට්ටු ග්‍රහණවලින් වෙන් කර තබන්න.

එක් එක් ටනලයේ බාහිර යුගලය, අභ්‍යන්තර /30 සහ ප්‍රකාශිත පූර්වලේඛන එකම වගුවක සටහන් කරන්න. එම වගුව ඊළඟ වෙනස්කම සමාලෝචනය කළ හැකි කරයි.