Viac sietí LAN v jednom tuneli AWS VPN: čo znamená limit SA
AWS povoľuje jeden pár IPsec SA na tunel a to nie je limit jednej podsiete. Najprv oddeľte rozsah ochrany od smerovania a prístupu.
Pridanie druhej pobočkovej LAN do AWS Site-to-Site VPN nevyžaduje druhú nezávislú asociáciu IPsec v tomto tuneli. Limit, o ktorý ľudia zakopávajú, je skutočný, ale užší, než to znie: AWS dokumentuje jeden jedinečný pár IPsec SA na tunel, jeden prichádzajúci a jeden odchádzajúci, a oba tunely v jednom pripojení dostávajú každý svoj pár. To je vlastnosť služby, nie pravidlo, že IPsec chráni vždy jednu podsieť. Rozdiel je najdôležitejší, keď brána zákazníka založená na pravidlách premení každú položku pravidiel na vlastnú asociáciu.
Začnite pripojením, nie zoznamom sietí LAN
Otvorte pripojenie v konzole a všimnite si, ako sa smeruje. Statické pripojenie nesie vzdialené prefixy, ktoré ste deklarovali. Pripojenie BGP sa ich učí od brány zákazníka.
Tak či onak, tunel je založený na trasách. Čo doň ide, určujú selektory, ktoré vaše zariadenie vyjednáva, nie počet podsietí, ktoré môžete napísať do formulára.
Sledujte, čo brána zákazníka vyjednáva
Zariadenie založené na pravidlách môže premeniť každú položku pravidiel na vlastnú SA. Dve LAN znamenajú dve položky, čo znamená dve SA, a práve tu začína byť limit na tunel dôležitý. Požiadavky na bránu zákazníka varujú presne pred týmto správaním a navrhujú konsolidované pravidlá na týchto zariadeniach. Kontrolujte vyjednané selektory, nie počet pravidiel ACL na zariadení.
Zariadenie musí byť nakonfigurované tak, aby prezentovalo oba prefixy pod jednými pravidlami, inak vzdialená strana výsledok jednoducho neudrží.
Tri inventáre, držané oddelene
Zmiešajte tieto tri zoznamy a každá zmena sa stane hádankou. Držte ich ako samostatné stĺpce a každý vyplňte pre svoju vlastnú sieť.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Limitom SA je obmedzený iba stredný stĺpec. Prvý stĺpec je obchodný fakt a tretí je to, čo umožňuje aplikácii fungovať. Čítajte prijaté selektory na zariadení, namiesto toho aby ste pokrytie odvodzovali z počtu riadkov ACL, ktoré ste napísali.
Konsolidujte bez rozšírenia oprávnenia
Súhrnná trasa je zrejmý spôsob, ako získať jednu položku pravidiel, a je to aj spôsob, akým chránená množina ticho rastie. /20, ktoré pokrýva obe /24, pokrýva aj adresy, ktoré žiadna z pobočiek nepoužíva, a tunel ich ochotne prenesie. Ak musíte sumarizovať, spojte to s filtrovaním na prijímajúcej strane, aby bol priestor navyše odmietnutý, a nie len neohlásený. Odmietnutý paket je dôkaz. Neohlásená adresa je len neprítomnosť dôkazu.
Konsolidácia ochrannej politiky je zmena toho, čo smie byť šifrované. Nie je to udelenie prístupu a nemalo by sa tak brať.
Otestujte obe LAN a potom oba tunely ponechajte
Po koordinovanej zmene skontrolujte aktívny rozsah ochrany a potom spustite skutočnú aplikáciu z každej LAN. Fungovanie jednej podsiete nič nedokazuje o pokrytí selektorov druhej a ešte menej o jej spätnej ceste.
Ponechajte v návrhu oba tunely. Konsolidácia pravidiel nie je povolenie zahodiť redundanciu a jediný tunel nesúci každú pobočkovú LAN premení najbližšie servisné okno na výpadok.
Zapíšte vyjednané selektory, oba prefixy a vlastníkov trás do rovnakého záznamu zmien. Keď príde tretia LAN, tento záznam vám povie, či pridávate selektor alebo začínate odznova.