Lokalni in oddaljeni CIDR v AWS VPN: katera stran je katera?

Odprete možnosti Site-to-Site VPN, vidite dve polji CIDR z oznakama lokalno in oddaljeno ter segnete po naslovu, ki ga imate za lokalnega: VPC. To je nasprotje tega, kar misli API. V možnostih povezave LocalIpv4NetworkCidr poimenuje stran strankinega prehoda, RemoteIpv4NetworkCidr pa stran AWS, ker se povezava gradi s strankinega prehoda. Konzola tega nikoli ne pove na glas in nič ne zavrne verjetno videti zamenjave.

Začnite pri klicu API, ne pri oznaki v konzoli

Preberite referenco možnosti povezave enkrat do konca in opazite, da je vsaka možnost napisana s stališča strankinega prehoda. To ni naključje poimenovanja. Tunel je opisan tako, kot ga vidi naprava, ki ga na vaši strani zaključi, zato lokalno pomeni omrežje za vašim prehodom, oddaljeno pa omrežje za prehodom AWS. Tako polji IPv4 kot IPv6 sledita istemu pravilu.

Preden karkoli vtipkate, napišite oznaki na samolepilni listek: stran stranke, stran AWS. Nato jima priredite svoje naslove.

Razdelan primer z vlogami

Recimo, da je lokalna predpona 10.20.0.0/16, predpona VPC pa 10.60.0.0/16. Možnosti se berejo natanko tako, kot nakazujejo vloge, z lokalnim obsegom v lokalnem polju:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Zdaj dajte isti par tistemu, ki konfigurira partnersko napravo, in glejte, kako se past sproži. Na številnih požarnih zidovih lokalno pomeni vmesnik, na katerem se tunel konča, oddaljeno pa oddaljeni konec, kar je za stran AWS obratna preslikava. Oba človeka imata lahko prav in vseeno ustvarita tunel, ki se nikoli ne vzpostavi, ker dva slovarja opisujeta različne končne točke.

Vajo ponovite na papirju v terminologiji partnerja, z obema CIDR in obema oznakama, preden se dotaknete katerekoli naprave.

Privzete vrednosti niso zasnova

Ista referenca navaja 0.0.0.0/0 kot privzeto vrednost za obe polji IPv4, z analognimi vrednostmi za IPv6. Če te vrednosti vidite v obstoječi povezavi, to pomeni, da polje nikoli ni bilo zoženo, ne pa da je nastavljen internetni izhod. Razdeljevanje poti, usmerjevalna tabela podomrežja in varnostni nadzori še vedno odločajo, kateri promet lahko resnično preide; vrednosti CIDR samo opisujejo, katere obsege je tunel pripravljen izbrati.

Zamenjava ožje vrednosti s privzeto torej ni trik za združljivost, ki bi ga uporabili, ko se tunel obnaša nepravilno. Razširi izbirnik in pusti vse druge plasti natanko take, kot so bile.

Partnerska naprava uporablja drugi pogled

Ko je stran AWS jasna, je konfiguracija partnerja tisto mesto, kjer živi večina preostale zmede. Naprava, ki zahteva lokalno omrežje in oddaljeno omrežje, svoj vmesnik opiše kot lokalnega, zato vaš obseg VPC gre v njeno oddaljeno polje, vaš lokalni obseg pa v njeno lokalno polje. Če namesto tega zahteva izbirnike prometa v parih, pišete obe smeri izrecno in oznake pomenijo manj kot seznanjanje.

Preberite pomoč polj naprave, ne imen njenih polj. Proizvajalci uporabljajo isti dve besedi za tri različne pojme.

Nato preverite stanje tunela za obe fazi, saj se neustrezni izbirnik običajno pokaže kot napaka v drugi fazi, medtem ko prva faza mirno stoji vzpostavljena.

Spreminjajte možnosti kot spremembo, ne kot dokumentacijo

Urejanje možnosti povezave na delujočem VPN lahko prekine storitev, zato to obravnavajte kot vzdrževalno dejanje z oknom, vrednostjo za vrnitev in opombo o tem, koga zadeva. Najprej zabeležite trenutne možnosti, vključno z obema poljema CIDR in možnostmi tunela, da bo vrnitev prilepanje in ne obnova.

Po spremembi preverite s strani AWS in pri partnerju: vir v vsakem obsegu doseže cilj v drugem, v obeh smereh. En sam ping z ene strani dokaže en sam izbirnik.

Nato posodobite dokumentacijo povezave z izpisanimi vlogami, da naslednji osebi ne bo treba znova odkriti, da lokalno pomeni vašo stran.