Lokálna a vzdialená CIDR vo AWS VPN: ktorá strana je ktorá?

Otvoríte možnosti Site-to-Site VPN, uvidíte dve polia CIDR označené ako lokálne a vzdialené a siahnete po adrese, ktorú považujete za lokálnu: VPC. To je opak toho, čo API mieni. V možnostiach pripojenia LocalIpv4NetworkCidr označuje stranu zákazníckej brány a RemoteIpv4NetworkCidr stranu AWS, pretože pripojenie sa stavia zo zákazníckej brány. Konzola to nikdy nepovie nahlas a nič neodmietne vierohodne vyzerajúcu zámenu.

Začnite pri volaní API, nie pri popisku v konzole

Prečítajte si referenciu možností pripojenia raz celú a všimnite si, že každá možnosť je napísaná z pohľadu zákazníckej brány. Nie je to náhoda v pomenovaní. Tunel je opísaný tak, ako ho vidí zariadenie, ktoré ho na vašej strane ukončuje, takže lokálne znamená sieť za vašou bránou a vzdialené sieť za bránou AWS. Rovnakým pravidlom sa riadia polia IPv4 aj IPv6.

Napíšte obe označenia na lepiaci lístok, skôr než čokoľvek zadáte: strana zákazníka, strana AWS. Potom k nim priraďte svoje adresy.

Rozpracovaný príklad s rolami

Predpokladajme, že lokálny prefix je 10.20.0.0/16 a prefix VPC je 10.60.0.0/16. Možnosti sa čítajú presne tak, ako roly naznačujú, s lokálnym rozsahom v lokálnom poli:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Teraz odovzdajte ten istý pár tomu, kto konfiguruje partnerské zariadenie, a sledujte, ako pasca sklapne. Na mnohých firewalloch lokálne znamená rozhranie, na ktorom tunel končí, a vzdialené vzdialený koniec, čo je pre stranu AWS opačné mapovanie. Obaja ľudia môžu mať pravdu a napriek tomu vytvoriť tunel, ktorý sa nikdy neusporiada, pretože oba slovníky opisujú iné koncové body.

Zopakujte cvičenie na papieri v terminológii partnera, s oboma CIDR a oboma označeniami, skôr než sa dotknete akéhokoľvek zariadenia.

Predvolené hodnoty nie sú návrh

Tá istá referencia uvádza 0.0.0.0/0 ako predvolenú hodnotu pre obe polia IPv4, s obdobnými hodnotami pre IPv6. Keď tieto hodnoty vidíte v existujúcom pripojení, znamená to, že pole nebolo nikdy zúžené, nie že je nastavený internetový výstup. Distribúcia trás, smerovacia tabuľka podsiete a bezpečnostné kontroly stále rozhodujú, ktorá prevádzka môže skutočne prejsť; hodnoty CIDR len opisujú, ktoré rozsahy je tunel ochotný vyberať.

Nahradiť užšiu hodnotu predvolenou teda nie je trik na kompatibilitu, ktorý možno použiť, keď sa tunel správa zle. Rozširuje selektor a všetky ostatné vrstvy necháva presne také, aké boli.

Partnerské zariadenie používa druhý pohľad

Keď je strana AWS jasná, väčšina zvyšného zmätku sídli v konfigurácii partnera. Zariadenie, ktoré sa pýta na lokálnu sieť a vzdialenú sieť, opisuje svoje vlastné rozhranie ako lokálne, takže váš rozsah VPC patrí do jeho vzdialeného poľa a váš lokálny rozsah do jeho lokálneho poľa. Ak namiesto toho žiada selektory prevádzky v pároch, píšete oba smery výslovne a označenia sú menej dôležité než spárovanie.

Čítajte pomocníka k poliam zariadenia, nie názvy jeho polí. Výrobcovia používajú tie isté dve slová pre tri rôzne pojmy.

Potom skontrolujte stav tunela pre obe fázy, pretože nezhodný selektor sa zvyčajne prejaví ako zlyhanie druhej fázy, kým prvá fáza pokojne stojí nadviazaná.

Meňte možnosti ako zmenu, nie ako dokumentáciu

Úprava možností pripojenia na živom VPN môže prerušiť službu, preto k nej pristupujte ako k údržbovej akcii s oknom, hodnotou na návrat a poznámkou, koho sa týka. Najprv zaznamenajte súčasné možnosti vrátane oboch polí CIDR a možností tunela, aby bol návrat vložením, a nie rekonštrukciou.

Po zmene overte zo strany AWS aj od partnera: zdroj v každom rozsahu dosiahne cieľ v druhom, v oboch smeroch. Jediný ping z jednej strany dokazuje jediný selektor.

Potom aktualizujte dokumentáciu pripojenia s vypísanými rolami, aby ďalší človek nemusel znovu objavovať, že lokálne znamená vaša strana.