Више LAN мрежа на једном AWS VPN тунелу: шта значи ограничење SA
AWS дозвољава један пар IPsec SA по тунелу, и то није ограничење на једну подмрежу. Прво одвојте обим заштите од рутирања и приступа.
Додавање друге LAN мреже огранка на AWS Site-to-Site VPN не захтева другу независну IPsec асоцијацију унутар тог тунела. Ограничење на које људи наилазе је стварно, али уже него што звучи: AWS документује један јединствени пар IPsec SA по тунелу, један долазни и један одлазни, а два тунела у једној вези сваки добија свој пар. То је својство услуге, а не правило да IPsec штити једну подмрежу одједном. Разлика је најважнија када мрежни пролаз купца заснован на правилима претвори сваки унос правила у сопствену асоцијацију.
Почните с везом, а не са списком LAN мрежа
Отворите везу у конзоли и обратите пажњу како се рутира. Статичка веза носи удаљене префиксе које сте декларисали. BGP веза их учи од мрежног пролаза купца.
Било како било, тунел се заснива на рутама. Шта улази у њега одређују селектори које ваш уређај преговара, а не број подмрежа које можете укуцати у образац.
Пратите шта мрежни пролаз купца преговара
Уређај заснован на правилима може претворити сваки унос правила у сопствени SA. Две LAN мреже значе два уноса, што значи два SA, и ту ограничење по тунелу почиње да буде важно. Захтеви за мрежни пролаз купца упозоравају управо на ово понашање и предлажу обједињена правила на тим уређајима. Проверите преговаране селекторе, а не број ACL-ова на уређају.
Уређај мора бити конфигурисан да представи оба префикса под једним правилом, иначе супротна страна једноставно не може да задржи резултат.
Три инвентара, држана одвојено
Помешајте ове три листе и свака промена постаје нагађање. Држите их као одвојене колоне и попуните сваку за своју мрежу.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Само је средња колона ограничена SA лимитом. Прва колона је пословна чињеница, а трећа је оно што чини апликацију функционалном. Читајте прихваћене селекторе на уређају уместо да закључујете покривеност из броја ACL редова које сте написали.
Обједините без ширења дозволе
Сажета рута је очигледан начин да добијете један унос правила, а то је и начин на који заштићени скуп тихо расте. /20 који покрива оба /24 покрива и адресе које ниједна подружница не користи, а тунел ће их радо носити. Ако морате да сажимате, упарите то са филтрирањем на пријемној страни тако да се додатни простор одбије, а не само не објави. Одбијен пакет је доказ. Необјављена адреса је само одсуство доказа.
Обједињавање заштитне политике је промена онога што се сме шифровати. То није давање приступа и не треба тако третирати.
Тестирајте обе LAN мреже, па задржите оба тунела
Након координиране промене прегледајте активни обим заштите, а затим покрените стварну апликацију из сваке LAN мреже. Једна подмрежа која ради не доказује ништа о покривености селектора друге, а још мање о њеној повратној путањи.
Задржите оба тунела у дизајну. Обједињавање политике није дозвола да одбаците редундантност, а један тунел који носи сваку LAN мрежу подружнице чини следећи прозор за одржавање прекидом.
У исти запис промене упишите преговаране селекторе, оба префикса и власнике рута. Када дође трећа LAN мрежа, тај запис вам каже да ли додајете селектор или почињете изнова.