AWS Site-to-Site VPN: வெளி, உள் மற்றும் LAN முன்னொட்டு

AWS Site-to-Site VPN இல் பெரும்பாலான தவறுகள் முகவரித் தவறுகள், அவை எந்தப் பொட்டலமும் நகரும் முன்பே நிகழ்கின்றன. சுரங்கப்பாதையின் வெளி முகவரிகள் IPsec சகாக்களை அடைகின்றன, உள் முகவரிகள் அவற்றுக்கிடையேயான வழியமைப்பு இணைப்பை உருவாக்குகின்றன, பாதுகாக்கப்பட்ட முன்னொட்டுகள் அந்த இணைப்பு எதற்காக என்பதாகும். ஒரு பங்கை மற்றொன்றில் நகலெடுங்கள், சுரங்கப்பாதை மேலெழுகிறது ஆனால் எதுவும் வழியமைக்கப்படவில்லை. BGP வாடிக்கையாளர் நுழைவாயிலில் நான் பயன்படுத்தும் படி-சரிபார்-கட்டமை செய் வரிசை இதுவாகும், மதிப்புகள் நினைவில் இருந்து அல்ல, பதிவிறக்கிய சாதன அமைப்பிலிருந்து எடுக்கப்பட்டவை.

மூன்று முகவரிப் பங்குகள், ஒரு சுரங்கப்பாதை

வெளி முகவரிகள் பொதுவானவை மற்றும் IPsec சகாக்களுக்கு உரியவை: AWS பக்கத்தில் ஒவ்வொரு சுரங்கப்பாதைக்கும் ஒன்று, உங்கள் பக்கத்தில் வாடிக்கையாளர் நுழைவாயிலின் அணுகக்கூடிய அடையாளம், உங்களிடம் உண்மையில் உள்ள NAT ஏற்பாட்டுக்கு ஏற்ப. உள் முகவரிகள் தனிப்பட்டவை மற்றும் தர்க்க இணைப்புக்கு உரியவை, அதை AWS 169.254.0.0/16 இலிருந்து எடுக்கப்பட்ட /30 எனப் பதிவு செய்கிறது. பாதுகாக்கப்பட்ட முன்னொட்டுகள் அந்த இணைப்பின் மேல் நீங்கள் வழியமைத்து அறிவிக்கும் VPC, உள்ளூர் அல்லது டிரான்சிட் வலையங்கள்.

சுரங்கப்பாதை இடைமுகத்தின் முகவரியாக LAN முன்னொட்டை ஒதுக்குவது இந்தத் தவறின் உன்னதமான வடிவம். இடைமுகம் கட்டமைக்கப்பட்டதாகத் தெரிகிறது, LAN அறிவிக்கப்படவில்லை, எதிர்ப்பக்கத்திற்கு அதற்கு வழி இல்லை. சுரங்கப்பாதை அதன் சொந்த உள் ping ஐக் கடக்கமுடியும், ஆனால் ஒவ்வொரு பயன்பாட்டு பெயரும் நேரம் முடிகிறது. சுரங்கப்பாதை விருப்பச் சுட்டி உள் CIDR இன் கட்டுப்பாடுகளைப் பட்டியலிடுகிறது, அது எந்த முகவரி வரம்பிலிருந்து வர வேண்டும் என்பதும் அடங்கும்.

மதிப்புகளை பதிவிறக்கிய அமைப்பிலிருந்து படியுங்கள்

இணைப்பிலிருந்து உங்கள் குறிப்பிட்ட சாதன மாதிரிக்கான அமைப்பைப் பதிவிறக்கி, அதன் முகவரி அட்டவணையை உண்மையின் மூலமாகக் கருதுங்கள். கன்சோல் ஒவ்வொரு சுரங்கப்பாதைக்கும் அதே மதிப்புகளைக் காட்டுகிறது: வெளி IP, உள் CIDR மற்றும் AWS பக்கத்தில் BGP சகாவின் முகவரி. இரண்டு சுரங்கப்பாதைகளும் தனித்தனி பொருட்கள், தனித்தனி வெளி முனைகள் மற்றும் தனித்தனி உள் /30 உடன், இரண்டும் ஒரே பாதுகாக்கப்பட்ட வலையங்களைக் கொண்டு சென்றாலும்.

aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 \
  --query 'VpnConnections[0].Options.TunnelOptions[].[OutsideIpAddress,TunnelInsideCidr]'
aws ec2 describe-customer-gateways --customer-gateway-ids cgw-0123456789abcdef0 \
  --query 'CustomerGateways[0].[IpAddress,BgpAsn]'

பதிவிறக்கிய கோப்பும் நேரடி கன்சோலும் பொருந்தவில்லை என்றால் கோப்பு பழையது. முகவரிகளை கைமுறையாகத் திருத்துவதற்குப் பதிலாக மீண்டும் பதிவிறக்குங்கள், ஏனெனில் உள் ஜோடிக்கும் சகாவின் கட்டமைக்கப்பட்ட அண்டைக்கும் இடையிலான வேறுபாடு அமைதியான BGP தோல்வி.

சரியான முகவரியுடன் இணைப்பைக் கட்டுங்கள்

Linux நுழைவாயிலில் சுரங்கப்பாதை VTI அல்லது XFRM இடைமுகம், உள் /30 அந்த இடைமுகத்தில் அமைகிறது. இரண்டு சுரங்கப்பாதைகள் என்பது இரண்டு இடைமுகங்கள் மற்றும் இரண்டு BGP அண்டைகள், ஒவ்வொரு AWS முனைக்கும் ஒன்று. AWS பதிவிறக்கிய சாதன அமைப்பில் அச்சிடும் மரபு மெய்நிகர் தனியார் நுழைவாயிலை ஒவ்வொரு உள் /30 இன் முதல் முகவரியிலும், உங்கள் வாடிக்கையாளர் நுழைவாயிலை இரண்டாவதிலும் வைக்கிறது, எனவே நீங்கள் உயர்ந்த முகவரியை எடுத்து தாழ்ந்ததுடன் சகாவாகிறீர்கள். இங்கு எதற்கும் LAN முகவரி தேவையில்லை.

ip tunnel add tun0 mode vti local 203.0.113.10 remote 18.230.1.1 key 42
ip addr add 169.254.10.2/30 dev tun0
ip link set tun0 up mtu 1400
ip tunnel add tun1 mode vti local 203.0.113.10 remote 18.230.2.1 key 43
ip addr add 169.254.10.6/30 dev tun1
ip link set tun1 up mtu 1400

உங்கள் சாதன மாதிரியின் கோப்பு எதிர் ஜோடியை அச்சிட்டால், அதன் எண்களைப் பயன்படுத்தி விதியைக் கடைப்பிடியுங்கள்: இடைமுகத்தின் முகவரி உங்களுடையது, சகா முகவரி AWS க்கு உரியது. இதைத் தலைகீழாகச் செய்தால் ஒருபோதும் Established ஐ அடையாத சுரங்கப்பாதை உருவாகும், ஏனெனில் நீங்கள் கட்டமைத்த அண்டை உங்கள் சொந்த இடைமுகம் ஏற்கனவே வைத்திருக்கும் முகவரியே.

mark மற்றும் VTI விசையை IKE டீமன் குழந்தை SA ஐ இடைமுகத்துடன் பிணைக்கப் பயன்படுத்துவதுடன் ஒத்திசைவாக வைத்திருங்கள், இல்லையெனில் போக்குவரத்து சுரங்கப்பாதைக்கு வரும் ஆனால் இறங்க இடைமுகம் இருக்காது. வேறு தளத்திலிருந்து எண்ணை நகலெடுப்பதற்குப் பதிலாக MTU வை பாதைக்கும் IKE டீமனின் சொந்த அமைப்புகளுக்கும் எதிராகச் சரிபாருங்கள்.

வழிகளைச் சரிபார்க்கும் முன் BGP வைச் சரிபாருங்கள்

IPsec மேலெழுவது சகாக்கள் பாதுகாப்பு இணைப்பில் உடன்பட்டனர் என்பதை மட்டுமே நிரூபிக்கிறது, வேறொன்றுமில்லை. BGP அமர்வு உள் இணைப்பின் மேல் தனி பேச்சுவார்த்தை, எனவே அண்டையின் நிலையையும் முன்னொட்டு கணக்கிகளையும் படித்து, பின்னர் நீங்கள் அறிவிக்க நினைத்தவற்றுடன் ஒப்பிடுங்கள்.

ip -s addr show dev tun0
vtysh -c 'show bgp summary'
vtysh -c 'show bgp neighbors 169.254.10.1'
vtysh -c 'show ip bgp neighbors 169.254.10.1 advertised-routes'

Established நிலை மற்றும் பூஜ்ஜிய முன்னொட்டுகள் பெறப்பட்டது என்பது கொள்கை அல்லது அறிவிப்பு சிக்கல், சுரங்கப்பாதை சிக்கல் அல்ல. முழு சரிபார்ப்பையும் இரண்டாவது சுரங்கப்பாதையில் திரும்பச் செய்யுங்கள்; வேலை செய்யும் முதல் சுரங்கப்பாதை முகவரிகள் நம்பத்தகுந்தவை என்று சொல்கிறது, இரண்டாவது சுரங்கப்பாதை கட்டமைக்கப்பட்டது என்று அல்ல.

வழியமைக்கப்பட்ட பொட்டலத்தைப் பின்தொடருங்கள், பின்னர் நிறுத்துங்கள்

அமர்வு முன்னொட்டுகளைக் கொண்டு செல்லும்போது, நுழைவாயிலிலிருந்து இரு திசைகளிலும் வழியைச் சோதியுங்கள்: மூல முகவரி, அடுத்த தாவல் மற்றும் போக்குவரத்தை அனுமதிக்கும் பாதுகாப்புக் கொள்கை. BGP அமர்வு மேலே இருக்கலாம், ஆனால் உங்கள் பயன்பாட்டிற்குத் தேவையான குறிப்பிட்ட முன்னொட்டு வடிகட்டப்பட்டு, சுருக்கப்பட்டு அல்லது தவறான இடைமுகத்திற்கு சுட்டப்பட்டிருக்கலாம்.

Reachability Analyzer என்பது AWS பக்கக் கருவி, இது ஒரு மூலம், ஒரு இலக்கு மற்றும் ஒரு பாதையை எடுத்து, ஆதரிக்கப்பட்ட அமைப்பில் எந்தக் கூறு அதைத் தடுத்தது என்பதைத் தெரிவிக்கிறது. VPC இலிருந்து உங்கள் வாடிக்கையாளர் நுழைவாயில் முகவரி வரையிலான பாதையைச் சோதிக்க இதைப் பயன்படுத்துங்கள், பயன்பாட்டு புரவலனில் இருந்து அல்ல. இது அமைப்பை பகுப்பாய்வு செய்கிறது, உள்ளூர் தீச்சுவர் வழியாக பொட்டலத்தை அனுப்புவதில்லை, எனவே அதன் தீர்ப்பை உங்கள் சொந்த இடைமுக கணக்கிகள் மற்றும் பொட்டலப் பதிவுகளிலிருந்து தனியாக வைத்திருங்கள்.

ஒவ்வொரு சுரங்கப்பாதையின் வெளி ஜோடி, உள் /30 மற்றும் அறிவிக்கப்பட்ட முன்னொட்டுகளை ஒரே அட்டவணையில் பதிவு செய்யுங்கள். அந்த அட்டவணையே அடுத்த மாற்றத்தை மதிப்பாய்வு செய்யக்கூடியதாக்குகிறது.