Локални и удаљени CIDR у AWS VPN-у: која је страна која?

Отварате опције Site-to-Site VPN, видите два поља CIDR означена као локално и удаљено и посегнете за адресом коју сматрате локалном: VPC. То је обрнуто од онога што API мисли. У опцијама везе LocalIpv4NetworkCidr означава страну клијентског пролаза, а RemoteIpv4NetworkCidr страну AWS-а, јер се веза гради од клијентског пролаза. Конзола то никада не каже наглас и ништа не одбија уверљиво изгледајућу замену.

Почните од позива API-ја, не од ознаке у конзоли

Прочитајте референцу опција везе једном целу и приметите да је свака опција написана из перспективе клијентског пролаза. То није случајност у називу. Тунел се описује онако како га види уређај који га завршава на вашој страни, па локално значи мрежу иза вашег пролаза, а удаљено мрежу иза AWS пролаза. И поља IPv4 и IPv6 следе исто правило.

Напишите две ознаке на папирић пре него што било шта унесете: страна клијента, страна AWS-а. Затим на њих пресликајте своје адресе.

Разрађен пример са улогама

Претпоставимо да је локални префикс 10.20.0.0/16, а префикс VPC-а 10.60.0.0/16. Опције се читају тачно како улоге сугеришу, са локалним опсегом у локалном пољу:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Сада предајте исти пар ономе ко конфигурише партнерски уређај и гледајте како се замка активира. На многим заштитним зидовима локално значи интерфејс на којем тунел завршава, а удаљено удаљени крај, што је обрнуто мапирање за страну AWS-а. Обоје могу бити у праву и ипак произвести тунел који се никада не успостави, јер два речника описују различите крајње тачке.

Поновите вежбу на папиру у терминологији партнера, са оба CIDR-а и обе ознаке, пре него што додирнете било који уређај.

Подразумеване вредности нису дизајн

Иста референца наводи 0.0.0.0/0 као подразумевану вредност за оба поља IPv4, са аналогним вредностима за IPv6. Када те вредности видите у постојећој вези, то значи да поље никада није сужено, а не да је конфигурисан интернетски излаз. Дистрибуција рута, табела рута подмреже и безбедносне контроле и даље одлучују који саобраћај заиста може проћи; вредности CIDR-а само описују које је опсеге тунел спреман да бира.

Замена уже вредности подразумеваном стога није трик за компатибилност који се примењује када се тунел понаша лоше. Она проширује селектор и оставља сваки други слој тачно онаквим какав је био.

Партнерски уређај користи други поглед

Када је страна AWS-а јасна, конфигурација партнера је место где живи већина преостале забуне. Уређај који тражи локалну мрежу и удаљену мрежу описује сопствени интерфејс као локални, па ваш опсег VPC-а иде у његово удаљено поље, а ваш локални опсег у његово локално поље. Ако уместо тога тражи селекторе саобраћаја у паровима, ви пишете оба смера изричито и ознаке су мање важне од упаривања.

Читајте помоћ за поља уређаја, а не називе његових поља. Произвођачи користе исте две речи за три различита појма.

Затим проверите стање тунела за обе фазе, јер се неусклађени селектор обично појављује као неуспех друге фазе, док прва фаза мирно стоји успостављена.

Мењајте опције као промену, не као документацију

Уређивање опција везе на активном VPN-у може прекинути услугу, зато томе приступите као одржавању са временским оквиром, вредношћу за враћање и напоменом о томе кога се тиче. Прво забележите тренутне опције, укључујући оба поља CIDR и опције тунела, како би враћање било лепљење, а не поновна изградња.

Након промене проверите са стране AWS-а и са стране партнера: извор у сваком опсегу достиже одредиште у другом, у оба смера. Један ping са једне стране доказује један селектор.

Затим ажурирајте документацију везе са исписаним улогама, како следећа особа не би морала поново да открије да локално значи ваша страна.