LAN badan oo ku yaal hal tunnel AWS VPN: macnaha xaddiga SA
AWS waxay ogolaataa hal lammaane IPsec SA tunnel kasta, taasina ma aha xad hal subnet. Marka hore ka sooc baaxadda ilaalinta dariiqa iyo gelitaanka.
Ku darista LAN laan labaad AWS Site-to-Site VPN uma baahna urur IPsec madaxbannaan oo labaad gudaha tunnelkaas. Xaddiga dadku ku turunturoodaan waa dhab, laakiin ka cidhiidhi ah sida ay u muuqato: AWS waxay diiwaangelisaa hal lammaane IPsec SA oo gaar ah tunnel kasta, mid soo galaya iyo mid baxaya, labada tunnel ee hal xiriirna mid kastaa wuxuu helaa lammaanihiisa. Tan waa sifo adeegga, ma aha qaanuun ah in IPsec uu ilaaliyo hal subnet mar keliya. Farqigu wuxuu ugu muhiimsan yahay marka gateway macmiil oo ku saleysan siyaasadu uu gelin kasta oo siyaasad ka dhigto ururkiisa.
Ka bilow xiriirka, ee ha ka bilownin liiska LAN
Ka fur xiriirka console-ka oo fiiri sida loo marinayo. Xiriirka taagan wuxuu qaadaa prefixyada fog ee aad ku dhawaaqday. Xiriirka BGP wuxuu ka bartaa gateway macmiilka.
Si kasta ha ahaatee, tunnelku wuxuu ku saleysan yahay dariiqyo. Waxa gudaha u gala waxaa go'aamiya doorashooyinka aaladdaadu ka wada hadasho, ma aha tirada subnet-yada aad formka ku qori karto.
Fiiri waxa gateway macmiilku ka wada hadlayo
Aalad ku saleysan siyaasadu waxay gelin kasta oo siyaasad ka dhigi kartaa SA u gaar ah. Laba LAN waxay ka dhigan yihiin laba gelin, taas oo ka dhigan laba SA, halkaasna xaddiga tunnel kastaa wuxuu bilaabaa inuu muhiim noqdo. Shuruudaha gateway macmiilka waxay ka digaan si sax ah habkan oo waxay soo jeediyaan xeerar la isku daray aaladahaas. Hubi doorashooyinka la wada hadlay halkii aad ka eegi lahayd tirada ACL ee aaladda.
Aaladda waa in loo habeeyaa si ay labada prefix u soo bandhigto hal siyaasad hoosteed, haddii kale dhinaca fog si fudud uma hayn karo natiijada.
Saddex liis-guri, oo gooni loo hayo
Isku dar saddexdan liisadood oo isbeddel kastaa wuxuu noqdaa qiyaas. U hay gooni ahaan sida tiirar oo buuxi mid kasta shabakaddaada.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Kaliya tiirka dhexe ayaa lagu xaddiday xaddiga SA. Tiirka koowaad waa xaqiiq ganacsi, kan saddexaadna waa waxa shaqeeya barnaamijka. Akhri doorashooyinka la aqbalay ee aaladda halkii aad ka qiyaasi lahayd daboolka tirada safafka ACL ee aad qortay.
Isku dar adigoon fidin oggolaanshaha
Dariiqda soo kooban waa habka cad ee loo helo hal gelin siyaasad, waana habka ay kooxda la ilaaliyay si aamusan u kordhiso. /20 oo daboola labada /24 waxay kaloo daboolaa cinwaanno aan laan walba isticmaalin, tunnelkuna si farxad leh ayuu u qaadi doonaa. Haddii ay tahay inaad soo koobto, ku lammaani filtrar dhinaca qaata si meesha dheeriga ah loo diido halkii aan la ogeysiin. Xirmo la diiday waa caddayn. Cinwaan aan la ogeysiin waa kaliya maqnaanshaha caddaynta.
Isku darka siyaasadda ilaalinta waa isbeddel ku yimaada waxa la sir-gelin karo. Ma aha bixinta gelitaan oo waa in aan loola dhaqmin sidaas.
Tijaabi labada LAN, ka dib hay labada tunnel
Isbeddel isku-dubbarid leh ka dib, baadh baaxadda ilaalinta ee firfircoon ka dibna ka shaqee barnaamij dhab ah LAN kasta. Hal subnet oo shaqeeya waxba ma caddeeyo ku saabsan daboolka doorashooyinka kan labaad, iyo wax ka sii yar dariiqa jawaabtiisa.
Ku hay labada tunnel naqshadda. Isku darka siyaasadaha ma aha oggolaansho ah in la tuuro xad-dhaaf, tunnel keliya oo qaada LAN kasta oo laan ahna wuxuu daaqadda dayactirka ee xigta ka dhigayaa xannibaad.
Ku qor doorashooyinka la wada hadlay, labada prefix iyo milkiilayaasha dariiqyada isla diiwaanka isbeddelka. Marka LAN saddexaad yimaado, diiwaankaas wuxuu kuu sheegayaa inaad ku darayso doorasho ama dib uga bilaabayso.