ஒரு AWS VPN சுரங்கப்பாதையில் பல LAN: SA வரம்பின் பொருள்
AWS ஒரு சுரங்கப்பாதைக்கு ஒரு IPsec SA இணையை மட்டுமே அனுமதிக்கிறது, அது ஒரு சப்நெட் வரம்பு அல்ல. முதலில் பாதுகாப்பு எல்லையை ரூட்டிங் மற்றும் அணுகலில் இருந்து பிரிக்கவும்.
AWS Site-to-Site VPN-இல் இரண்டாவது கிளை LAN சேர்ப்பதற்கு அந்த சுரங்கப்பாதையின் உள்ளே இரண்டாவது சுயாதீன IPsec சங்கம் தேவையில்லை. மக்கள் இடறும் வரம்பு உண்மையானது, ஆனால் கேட்பதை விட குறுகியது: AWS ஆவணப்படுத்துகிறது ஒரு சுரங்கப்பாதைக்கு ஒரு தனித்துவமான IPsec SA இணை, ஒன்று உள்வரும் ஒன்று வெளிச்செல்லும், ஒரு இணைப்பின் இரு சுரங்கப்பாதைகளும் தத்தமது இணையைப் பெறுகின்றன. இது சேவையின் பண்பு, IPsec ஒரு நேரத்தில் ஒரு சப்நெட்டைப் பாதுகாக்கிறது என்பது விதி அல்ல. கொள்கை அடிப்படையிலான வாடிக்கையாளர் நுழைவாயில் ஒவ்வொரு கொள்கை உள்ளீட்டையும் அதன் சொந்த சங்கமாக மாற்றும்போது இந்த வேறுபாடு மிக முக்கியமானது.
LAN பட்டியலில் இருந்து அல்ல, இணைப்பில் இருந்து தொடங்குங்கள்
கன்சோலில் இணைப்பைத் திறந்து அது எவ்வாறு ரூட் செய்யப்படுகிறது என்பதைக் கவனியுங்கள். நிலையான இணைப்பு நீங்கள் அறிவித்த தொலை முன்னொட்டுகளைக் கொண்டுசெல்கிறது. BGP இணைப்பு அவற்றை வாடிக்கையாளர் நுழைவாயிலில் இருந்து கற்கிறது.
எப்படியிருந்தாலும், சுரங்கப்பாதை வழி அடிப்படையிலானது. அதற்குள் என்ன செல்கிறது என்பதை உங்கள் சாதனம் பேச்சுவார்த்தை செய்யும் தேர்விகள் தீர்மானிக்கின்றன, படிவத்தில் தட்டச்சு செய்யக்கூடிய சப்நெட்டுகளின் எண்ணிக்கை அல்ல.
வாடிக்கையாளர் நுழைவாயில் எதைப் பேச்சுவார்த்தை செய்கிறது என்பதைக் கவனியுங்கள்
கொள்கை அடிப்படையிலான சாதனம் ஒவ்வொரு கொள்கை உள்ளீட்டையும் அதன் சொந்த SA ஆக மாற்ற முடியும். இரு LAN என்பது இரு உள்ளீடுகள், அதாவது இரு SA, இங்குதான் சுரங்கப்பாதைக்கான வரம்பு முக்கியமாகத் தொடங்குகிறது. வாடிக்கையாளர் நுழைவாயில் தேவைகள் இந்த நடத்தையைப் பற்றி சரியாக எச்சரிக்கின்றன மற்றும் அந்த சாதனங்களில் ஒருங்கிணைந்த விதிகளைப் பரிந்துரைக்கின்றன. சாதனத்தில் உள்ள ACL எண்ணிக்கைக்குப் பதிலாக பேச்சுவார்த்தை செய்யப்பட்ட தேர்விகளைச் சரிபார்க்கவும்.
சாதனம் இரு முன்னொட்டுகளையும் ஒரு கொள்கையின் கீழ் வழங்க கட்டமைக்கப்பட வேண்டும், இல்லையெனில் தொலை முனை முடிவைத் தக்கவைக்க முடியாது.
மூன்று சரக்குகள், தனித்தனியாக வைக்கப்பட்டவை
இந்த மூன்று பட்டியல்களையும் கலக்கவும், ஒவ்வொரு மாற்றமும் ஊகமாக மாறும். அவற்றை தனி நெடுவரிசைகளாக வைத்து உங்கள் சொந்த நெட்வொர்க்கிற்காக ஒவ்வொன்றையும் நிரப்புங்கள்.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
SA வரம்பால் கட்டுப்படுத்தப்படுவது நடு நெடுவரிசை மட்டுமே. முதல் நெடுவரிசை ஒரு வணிக உண்மை, மூன்றாவது ஒரு பயன்பாட்டை இயக்குவது. நீங்கள் எழுதிய ACL வரிகளின் எண்ணிக்கையிலிருந்து பாதுகாப்பை ஊகிப்பதற்குப் பதிலாக சாதனத்தில் ஏற்றுக்கொள்ளப்பட்ட தேர்விகளைப் படியுங்கள்.
அனுமதியை விரிவுபடுத்தாமல் ஒருங்கிணைக்கவும்
ஒரு கொள்கை உள்ளீட்டைப் பெறுவதற்கான தெளிவான வழி சுருக்க வழி, பாதுகாக்கப்பட்ட தொகுப்பு அமைதியாக வளரும் வழியும் அதுவே. இரு /24-ஐயும் உள்ளடக்கும் /20 எந்தக் கிளையும் பயன்படுத்தாத முகவரிகளையும் உள்ளடக்கும், சுரங்கப்பாதை அவற்றை மகிழ்ச்சியுடன் சுமக்கும். நீங்கள் சுருக்க வேண்டுமானால், அதைப் பெறும் பக்கத்தில் வடிகட்டலுடன் இணைக்கவும், அதிகப்படியான இடம் வெறுமனே அறிவிக்கப்படாமல் இருப்பதற்குப் பதிலாக நிராகரிக்கப்படும். நிராகரிக்கப்பட்ட பாக்கெட் ஒரு சான்று. அறிவிக்கப்படாத முகவரி சான்றின் இல்லாமை மட்டுமே.
பாதுகாப்புக் கொள்கையை ஒருங்கிணைப்பது என்ன மறையாக்கம் செய்யலாம் என்பதில் ஒரு மாற்றம். இது அணுகலை வழங்குவது அல்ல, அதைப் போல கருதப்படவும் கூடாது.
இரு LAN-ஐயும் சோதித்து, பின்னர் இரு சுரங்கப்பாதைகளையும் வைத்திருங்கள்
ஒருங்கிணைந்த மாற்றத்திற்குப் பிறகு செயலில் உள்ள பாதுகாப்பு எல்லையை ஆய்வு செய்து, பின்னர் ஒவ்வொரு LAN-இலிருந்தும் உண்மையான பயன்பாட்டை இயக்கவும். ஒரு சப்நெட் வேலை செய்வது இரண்டாவதன் தேர்வி பாதுகாப்பைப் பற்றி எதையும் நிரூபிக்காது, அதன் பதில் பாதையைப் பற்றி இன்னும் குறைவாக.
வடிவமைப்பில் இரு சுரங்கப்பாதைகளையும் வைத்திருங்கள். கொள்கையை ஒருங்கிணைப்பது மிகையைத் தூக்கி எறியும் அனுமதி அல்ல, ஒவ்வொரு கிளை LAN-ஐயும் சுமக்கும் ஒரே சுரங்கப்பாதை அடுத்த பராமரிப்பு சாளரத்தை இடையூறாக மாற்றும்.
பேச்சுவார்த்தை செய்யப்பட்ட தேர்விகள், இரு முன்னொட்டுகள் மற்றும் வழி உரிமையாளர்களை ஒரே மாற்றப் பதிவில் எழுதுங்கள். மூன்றாவது LAN வரும்போது, அந்தப் பதிவு நீங்கள் ஒரு தேர்வியைச் சேர்ப்பதா அல்லது புதிதாகத் தொடங்குவதா என்பதைச் சொல்லும்.