Več omrežij LAN v enem tunelu AWS VPN: kaj pomeni omejitev SA
AWS dovoljuje en par IPsec SA na tunel, in to ni omejitev na eno podomrežje. Najprej ločite obseg zaščite od usmerjanja in dostopa.
Dodajanje drugega omrežja LAN podružnice v AWS Site-to-Site VPN ne zahteva druge neodvisne asociacije IPsec v tem tunelu. Omejitev, ob katero se ljudje spotikajo, je resnična, a ožja, kot se sliši: AWS dokumentira en edinstven par IPsec SA na tunel, enega dohodnega in enega odhodnega, in dva tunela v eni povezavi dobita vsak svoj par. To je lastnost storitve, ne pravilo, da IPsec varuje eno podomrežje naenkrat. Razlika je najpomembnejša, ko prehod stranke, ki temelji na pravilnikih, vsak vnos pravilnika spremeni v svojo asociacijo.
Začnite s povezavo, ne s seznamom omrežij LAN
Odprite povezavo v konzoli in bodite pozorni, kako se usmerja. Statična povezava prenaša oddaljene predpone, ki ste jih deklarirali. Povezava BGP se jih nauči od prehoda stranke.
Tako ali drugače je tunel osnovan na poteh. Kaj pride vanj, določajo izbirniki, ki jih dogovarja vaša naprava, ne število podomrežij, ki jih lahko vnesete v obrazec.
Opazujte, kaj dogovarja prehod stranke
Naprava, ki temelji na pravilnikih, lahko vsak vnos pravilnika spremeni v svoj SA. Dve omrežji LAN pomenita dva vnosa, kar pomeni dva SA, in tu omejitev na tunel začne šteti. Zahteve za prehod stranke opozarjajo prav na to vedenje in predlagajo konsolidirana pravila na teh napravah. Preverite dogovorjene izbirnike, ne števila pravil ACL na napravi.
Naprava mora biti konfigurirana tako, da predstavi obe predponi pod enim pravilnikom, sicer oddaljena stran preprosto ne more obdržati rezultata.
Trije popisi, ločeno vodeni
Zmešajte te tri sezname in vsaka sprememba postane ugibanje. Vodite jih kot ločene stolpce in vsakega izpolnite za svoje omrežje.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Z omejitvijo SA je omejen le srednji stolpec. Prvi stolpec je poslovno dejstvo, tretji pa je tisto, kar omogoča delovanje aplikacije. Berite sprejete izbirnike na napravi, namesto da bi pokritost sklepali iz števila napisanih vrstic ACL.
Konsolidirajte brez širjenja dovoljenja
Povzeta pot je očiten način, da dobite en vnos pravilnika, in je tudi način, kako zaščitena množica tiho raste. /20, ki pokriva obe /24, pokriva tudi naslove, ki jih ne uporablja nobena podružnica, in tunel jih bo z veseljem prenašal. Če morate povzeti, to povežite s filtriranjem na prejemni strani, da se dodatni prostor zavrne, ne le neobjavi. Zavrnjen paket je dokaz. Neobjavljen naslov je le odsotnost dokaza.
Konsolidacija zaščitnega pravilnika je sprememba tega, kaj se sme šifrirati. To ni podelitev dostopa in se ne sme obravnavati kot tako.
Preizkusite obe omrežji LAN in nato obdržite oba tunela
Po usklajeni spremembi preglejte aktivni obseg zaščite in nato zaženite resnično aplikacijo iz vsakega omrežja LAN. Delovanje enega podomrežja ne dokazuje ničesar o pokritosti izbirnikov drugega in še manj o njegovi povratni poti.
V zasnovi obdržite oba tunela. Konsolidacija pravilnika ni dovoljenje, da zavržete redundanco, in en sam tunel, ki prenaša vsako podružnično omrežje LAN, naslednje vzdrževalno okno spremeni v izpad.
Zapišite dogovorjene izbirnike, obe predponi in lastnike poti v isti zapis spremembe. Ko pride tretje omrežje LAN, vam ta zapis pove, ali dodajate izbirnik ali začenjate znova.