AWS Site-to-Site VPN: nje, ndani na kiambishi cha LAN

Makosa mengi ya AWS Site-to-Site VPN ni makosa ya anwani, na hufanywa kabla hata pakiti moja kusogea. Anwani za nje za handaki hufikia wenzi wa IPsec, anwani za ndani huunda kiungo cha uelekezaji kati yao, na viambishi vilivyolindwa ni kile kiungo hicho kinachokusudiwa. Nakili waja mmoja ndani ya mwingine na handaki linakuja juu wakati hakuna kinachoelekezwa. Hii ni mfuatano wa soma-verifai-sanidi ninaotumia kwenye lango la mteja la BGP, na thamani zimechukuliwa kutoka kwa usanidi wa kifaa uliopakuliwa, sio kumbukumbu.

Majukumu matatu ya anwani, handaki moja

Anwani za nje ni za umma na ni za wenzi wa IPsec: moja kwa kila handaki upande wa AWS, na utambulisho unaofikika wa lango la mteja upande wako, ukibadilishwa kulingana na mpango wa NAT ulio nao kweli. Anwani za ndani ni za faragha na ni za kiungo cha kimantiki, ambacho AWS hukidokumentesha kama /30 iliyochukuliwa kutoka 169.254.0.0/16. Viambishi vilivyolindwa ni mitandao ya VPC, ya ndani au ya kupita unayoelekeza na kutangaza kupitia kiungo hicho.

Kuweka kiambishi cha LAN kama anwani ya kiolesura cha handaki ni aina ya kawaida ya kosa hili. Kiolesura kinaonekana kimesanidiwa, LAN haitangazwi, na upande wa pili hauna njia ya kuiendea. Handaki linaweza hata kupita ping yake ya ndani wakati kila jina la programu linaisha muda. Rejea ya chaguzi za handaki inaorodhesha vikwazo vya CIDR ya ndani, ikiwa ni pamoja na anuwai ya anwani ambayo inapaswa kutoka.

Soma thamani kutoka kwa usanidi uliopakuliwa

Pakua usanidi wa modeli yako mahususi ya kifaa kutoka kwa muunganisho, kisha chukulia jedwali lake la anwani kama chanzo cha ukweli. Konsoli inaonyesha thamani zile zile kwa kila handaki: IP ya nje, CIDR ya ndani na anwani ya mwenza wa BGP upande wa AWS. Handaki mbili ni vitu tofauti vyenye vituo vya nje tofauti na /30 za ndani tofauti, ingawa zote mbili hubeba mitandao ile ile iliyolindwa.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

Ikiwa faili iliyopakuliwa na konsoli ya moja kwa moja hazilingani, faili hiyo imepitwa na wakati. Pakua tena badala ya kuhariri anwani kwa mkono, kwa sababu kutolingana kati ya jozi ya ndani na jirani aliyesanidiwa wa mwenza ni kushindwa kwa BGP kwa utulivu.

Jenga kiungo kwa anwani sahihi

Kwenye lango la Linux handaki ni kiolesura cha VTI au XFRM, na /30 ya ndani inawekwa kwenye kiolesura hicho. Handaki mbili zinamaanisha violesura viwili na majirani wawili wa BGP, mmoja kwa kila kituo cha AWS. Mkataba ambao AWS huchapisha katika usanidi wa kifaa uliopakuliwa huweka lango la faragha la mtandao kwenye anwani ya kwanza ya kila /30 ya ndani na lango lako la mteja kwenye ya pili, kwa hivyo unachukua anwani ya juu na unashirikiana na ile ya chini. Hakuna kinachohitaji anwani ya LAN hapa.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

Ikiwa faili ya modeli yako ya kifaa inachapisha jozi iliyo kinyume, tumia namba zake na shika kanuni: anwani kwenye kiolesura ni yako, anwani ya mwenza ni ya AWS. Kuifanya kinyume hutoa handaki ambalo halifikii Established kamwe, kwa sababu jirani uliyesanidi ni anwani ambayo kiolesura chako yenyewe tayari inayo.

Weka alama na ufunguo wa VTI sawa na kile daemon ya IKE inatumia kufunga SA ya mtoto kwenye kiolesura, vinginevyo trafiki hufika kwenye handaki bila kiolesura cha kutua. Angalia MTU dhidi ya njia na dhidi ya mipangilio ya daemon ya IKE yenyewe badala ya kunakili namba kutoka tovuti nyingine.

Thibitisha BGP kabla ya kuthibitisha njia

IPsec kupanda kunathibitisha kwamba wenzi wanakubaliana juu ya muungano wa usalama na hakuna kingine. Kikao cha BGP ni mazungumzo tofauti juu ya kiungo cha ndani, kwa hivyo soma hali ya jirani na vihesabu vya viambishi, kisha ulinganishe na kile ulichokusudia kutangaza.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Hali ya Established na viambishi sifuri vilivyopokelewa ni tatizo la sera au utangazaji, sio tatizo la handaki. Rudia ukaguzi wote kwenye handaki la pili; handaki la kwanza linalofanya kazi linakuambia anwani zinaeleweka, sio kwamba handaki la pili limesanidiwa hata kidogo.

Fuatilia pakiti iliyoelekezwa, kisha simama

Mara kikao kinapobeba viambishi, jaribu njia katika pande zote mbili kutoka lango: anwani ya chanzo, hop inayofuata na sera ya usalama inayoruhusu trafiki. Kikao cha BGP kinaweza kuwa juu wakati kiambishi mahususi kinachohitajika na programu yako kimechujwa, kimefupishwa au kinaelekea kiolesura kibaya.

Reachability Analyzer ni chombo cha upande wa AWS kinachochukua chanzo, lengwa na njia, na kuripoti ni sehemu gani katika usanidi unaotumika iliyoizuia. Itumie kujaribu njia kutoka VPC hadi anwani ya lango lako la mteja, sio kutoka kwa mwenyeji wa programu. Inachambua usanidi na haitumi pakiti kupitia firewall ya ndani, kwa hivyo weka hukumu yake kando na vihesabu vyako vya kiolesura na kunasa pakiti.

Rekodi jozi ya nje, /30 ya ndani na viambishi vilivyotangazwa kwa kila handaki katika jedwali moja. Jedwali hilo ndilo linalofanya mabadiliko yajayo yaweze kupitiwa.