ఒక AWS VPN సొరంగంలో అనేక LAN: SA పరిమితి అర్థం ఏమిటి
AWS ఒక సొరంగానికి ఒక IPsec SA జంటను అనుమతిస్తుంది, మరియు అది ఒక సబ్నెట్ పరిమితి కాదు. మొదట రక్షణ పరిధిని రూటింగ్ మరియు యాక్సెస్ నుండి వేరు చేయండి.
AWS Site-to-Site VPN-కు రెండవ శాఖ LAN జోడించడానికి ఆ సొరంగం లోపల రెండవ స్వతంత్ర IPsec అనుబంధం అవసరం లేదు. ప్రజలు తడబడే పరిమితి నిజమైనది, కానీ వినడానికి కంటే ఇరుకైనది: AWS డాక్యుమెంట్ చేస్తుంది ప్రతి సొరంగానికి ఒక ప్రత్యేకమైన IPsec SA జంట, ఒకటి లోపలికి, ఒకటి బయటకు, మరియు ఒక కనెక్షన్లోని రెండు సొరంగాలు తమతమ జంటలను పొందుతాయి. ఇది సేవ యొక్క లక్షణం, IPsec ఒకసారి ఒక సబ్నెట్ను రక్షిస్తుందనే నియమం కాదు. విధాన ఆధారిత కస్టమర్ గేట్వే ప్రతి విధాన నమోదును దాని సొంత అనుబంధంగా మార్చినప్పుడు ఈ భేదం చాలా ముఖ్యం.
LAN జాబితాతో కాదు, కనెక్షన్తో ప్రారంభించండి
కన్సోల్లో కనెక్షన్ తెరిచి అది ఎలా రూట్ అవుతుందో గమనించండి. స్టాటిక్ కనెక్షన్ మీరు ప్రకటించిన దూర ప్రిఫిక్స్లను తీసుకువెళుతుంది. BGP కనెక్షన్ వాటిని కస్టమర్ గేట్వే నుండి నేర్చుకుంటుంది.
ఏ విధంగా అయినా, సొరంగం రూట్ ఆధారితం. దానిలోకి ఏమి వెళుతుందో మీ పరికరం చర్చించే సెలెక్టర్లు నిర్ణయిస్తాయి, ఫారమ్లో టైప్ చేయగల సబ్నెట్ల సంఖ్య కాదు.
కస్టమర్ గేట్వే ఏమి చర్చిస్తుందో గమనించండి
విధాన ఆధారిత పరికరం ప్రతి విధాన నమోదును దాని సొంత SAగా మార్చగలదు. రెండు LAN అంటే రెండు నమోదులు, అంటే రెండు SA, ఇక్కడే ప్రతి సొరంగ పరిమితి ముఖ్యమవడం ప్రారంభమవుతుంది. కస్టమర్ గేట్వే అవసరాలు ఖచ్చితంగా ఈ ప్రవర్తన గురించి హెచ్చరిస్తాయి మరియు ఆ పరికరాలపై ఏకీకృత నియమాలను సూచిస్తాయి. పరికరంలోని ACL గణనకు బదులు చర్చించిన సెలెక్టర్లను తనిఖీ చేయండి.
పరికరం రెండు ప్రిఫిక్స్లను ఒకే విధానం కింద అందించేలా కాన్ఫిగర్ చేయాలి, లేకుంటే దూర చివర ఫలితాన్ని నిలుపుకోలేదు.
మూడు ఇన్వెంటరీలు, వేరుగా ఉంచబడ్డాయి
ఈ మూడు జాబితాలను కలపండి, ప్రతి మార్పు ఊహగా మారుతుంది. వాటిని వేరు నిలువు వరుసలుగా ఉంచి మీ స్వంత నెట్వర్క్ కోసం ప్రతిదీ నింపండి.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
SA పరిమితి ద్వారా పరిమితం చేయబడినది మధ్య నిలువు వరుస మాత్రమే. మొదటి నిలువు వరుస వ్యాపార వాస్తవం, మూడవది అప్లికేషన్ను పని చేయించేది. మీరు రాసిన ACL పంక్తుల సంఖ్య నుండి కవరేజీని ఊహించడం కంటే పరికరంలో ఆమోదించబడిన సెలెక్టర్లను చదవండి.
అనుమతిని విస్తరించకుండా ఏకీకృతం చేయండి
సారాంశ మార్గం ఒక విధాన నమోదును పొందే స్పష్టమైన మార్గం, మరియు రక్షిత సముదాయం నిశ్శబ్దంగా పెరిగే మార్గం కూడా అదే. రెండు /24లను ఆవరించే /20 ఏ శాఖ ఉపయోగించని చిరునామాలను కూడా ఆవరిస్తుంది, మరియు సొరంగం వాటిని సంతోషంగా మోస్తుంది. మీరు తప్పనిసరిగా సారాంశం చేయాల్సి ఉంటే, దాన్ని స్వీకరించే వైపు ఫిల్టరింగ్తో జోడించండి, తద్వారా అదనపు స్థలం కేవలం ప్రకటించకపోవడం కంటే తిరస్కరించబడుతుంది. తిరస్కరించిన ప్యాకెట్ సాక్ష్యం. ప్రకటించని చిరునామా సాక్ష్యం లేకపోవడం మాత్రమే.
రక్షణ విధానాన్ని ఏకీకృతం చేయడం అంటే ఏమి ఎన్క్రిప్ట్ చేయవచ్చో మార్చడం. ఇది యాక్సెస్ మంజూరు కాదు, అలా పరిగణించకూడదు.
రెండు LANలను పరీక్షించి, ఆపై రెండు సొరంగాలను ఉంచండి
సమన్వయ మార్పు తర్వాత యాక్టివ్ రక్షణ పరిధిని తనిఖీ చేసి, ఆపై ప్రతి LAN నుండి నిజమైన అప్లికేషన్ను అమలు చేయండి. ఒక సబ్నెట్ పని చేయడం రెండవ దాని సెలెక్టర్ కవరేజీ గురించి ఏమీ నిరూపించదు, దాని ప్రతిస్పందన మార్గం గురించి ఇంకా తక్కువ.
డిజైన్లో రెండు సొరంగాలను ఉంచండి. విధానాన్ని ఏకీకృతం చేయడం అదనపు నిర్మాణాన్ని విస్మరించే అనుమతి కాదు, మరియు ప్రతి శాఖ LANను మోసే ఒకే సొరంగం తదుపరి నిర్వహణ విండోను అంతరాయంగా మారుస్తుంది.
చర్చించిన సెలెక్టర్లు, రెండు ప్రిఫిక్స్లు మరియు మార్గ యజమానులను ఒకే మార్పు రికార్డులో రాయండి. మూడవ LAN వచ్చినప్పుడు, ఆ రికార్డు మీరు సెలెక్టర్ను జోడిస్తున్నారా లేదా మొదటి నుండి ప్రారంభిస్తున్నారా అని చెబుతుంది.