Disa LAN në një tunel të vetëm AWS VPN: çfarë do të thotë kufiri SA
AWS lejon një palë IPsec SA për tunel, dhe ky nuk është kufi i një nënrrugë të vetme. Fillimisht ndani fushën e mbrojtjes nga rrugëtimi dhe aksesi.
Shtimi i një LAN të dytë dege në një AWS Site-to-Site VPN nuk kërkon një shoqatë të dytë të pavarur IPsec brenda atij tuneli. Kufiri ku njerëzit pengohen është i vërtetë, por më i ngushtë sesa tingëllon: AWS dokumenton një palë unike IPsec SA për tunel, një hyrëse dhe një dalëse, dhe dy tunelet në një lidhje marrin secili palën e vet. Kjo është një veti e shërbimit, jo një rregull që IPsec mbron një nënrrugë në një herë. Dallimi ka më shumë rëndësi kur një portë klienti e bazuar në politika e kthen çdo zë politike në shoqatën e vet.
Filloni me lidhjen, jo me listën e LAN
Hapni lidhjen në konsolë dhe vini re si rrugëtohet. Një lidhje statike mban prefikset e largëta që keni deklaruar. Një lidhje BGP i mëson ato nga porta e klientit.
Sido qoftë, tuneli bazohet në rrugë. Çfarë hyn në të vendoset nga përzgjedhësit që pajisja juaj negocion, jo nga numri i nënrrugëve që mund të shkruani në një formular.
Vëzhgoni çfarë negocion porta e klientit
Një pajisje e bazuar në politika mund ta kthejë çdo zë politike në SA të vet. Dy LAN nënkuptojnë dy zëra, që nënkupton dy SA, dhe këtu kufiri për tunel fillon të ketë rëndësi. Kërkesat e portës së klientit paralajmërojnë pikërisht për këtë sjellje dhe sugjerojnë rregulla të konsoliduara në ato pajisje. Kontrolloni përzgjedhësit e negociuar në vend të numrit të ACL-ve në pajisje.
Pajisja duhet të konfigurohet për të paraqitur të dy prefikset nën një politikë të vetme, përndryshe ana e largët thjesht nuk mund ta mbajë rezultatin.
Tre inventarë, të mbajtur veçmas
Përziejini këto tre lista dhe çdo ndryshim bëhet hamendje. Mbani ato si kolona të veçanta dhe plotësoni secilën për rrjetin tuaj.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Vetëm kolona e mesme kufizohet nga kufiri SA. Kolona e parë është një fakt biznesi, dhe e treta është ajo që bën një aplikacion të funksionojë. Lexoni përzgjedhësit e pranuar në pajisje në vend që të nxirrni mbulimin nga numri i rreshtave ACL që keni shkruar.
Konsolidoni pa zgjeruar lejen
Një rrugë përmbledhëse është mënyra e dukshme për të marrë një zë të vetëm politike, dhe është gjithashtu mënyra se si një grup i mbrojtur rritet në heshtje. Një /20 që mbulon të dyja /24 mbulon edhe adresa që asnjëra degë nuk i përdor, dhe tuneli do t'i mbajë me kënaqësi. Nëse duhet të përmbledhni, lidheni me filtrim në anën marrëse në mënyrë që hapësira shtesë të refuzohet dhe jo thjesht të mos shpallet. Një paketë e refuzuar është provë. Një adresë e pashpallur është vetëm mungesë prove.
Konsolidimi i politikës së mbrojtjes është një ndryshim në atë që mund të kriptohet. Nuk është një dhënie aksesi dhe nuk duhet trajtuar si e tillë.
Testoni të dyja LAN dhe më pas mbani të dy tunelet
Pas një ndryshimi të koordinuar, inspektoni fushën aktive të mbrojtjes dhe më pas ekzekutoni një aplikacion të vërtetë nga secila LAN. Fakti që një nënrrugë funksionon nuk provon asgjë për mbulimin e përzgjedhësve të së dytës, dhe shumë më pak për rrugën e përgjigjes së saj.
Mbani të dy tunelet në dizajn. Konsolidimi i politikës nuk është leje për të hedhur poshtë tepricën, dhe një tunel i vetëm që mban çdo LAN dege e kthen dritaren e ardhshme të mirëmbajtjes në ndërprerje.
Shkruani përzgjedhësit e negociuar, të dy prefikset dhe pronarët e rrugëve në të njëjtin regjistër ndryshimesh. Kur të vijë një LAN e tretë, ai regjistër ju tregon nëse po shtoni një përzgjedhës apo po filloni nga e para.