หลาย LAN บนอุโมงค์ AWS VPN เดียว: ขีดจำกัด SA หมายถึงอะไร
AWS อนุญาตหนึ่งคู่ IPsec SA ต่ออุโมงค์ และนั่นไม่ใช่ขีดจำกัดของซับเน็ตเดียว แยกขอบเขตการป้องกันออกจากการกำหนดเส้นทางและการเข้าถึงก่อน
การเพิ่ม LAN สาขาที่สองใน AWS Site-to-Site VPN ไม่จำเป็นต้องมีสมาคม IPsec อิสระชุดที่สองภายในอุโมงค์นั้น ขีดจำกัดที่ผู้คนสะดุดนั้นมีจริง แต่แคบกว่าที่ฟังดู: AWS เอกสารระบุ คู่ IPsec SA ที่ไม่ซ้ำกันหนึ่งคู่ต่ออุโมงค์ ซึ่งมีฝั่งขาเข้าและฝั่งขาออกอย่างละหนึ่ง และอุโมงค์ทั้งสองในหนึ่งการเชื่อมต่อต่างก็ได้คู่ของตัวเอง นี่เป็นคุณสมบัติของบริการ ไม่ใช่กฎที่ IPsec ปกป้องซับเน็ตทีละหนึ่ง ความแตกต่างนี้สำคัญที่สุดเมื่อเกตเวย์ลูกค้าที่อิงนโยบายเปลี่ยนแต่ละรายการนโยบายให้เป็นสมาคมของตัวเอง
เริ่มจากการเชื่อมต่อ ไม่ใช่รายการ LAN
เปิดการเชื่อมต่อในคอนโซลและสังเกตว่าถูกกำหนดเส้นทางอย่างไร การเชื่อมต่อแบบคงที่พาพรีฟิกซ์ระยะไกลที่คุณประกาศไว้ การเชื่อมต่อ BGP เรียนรู้อพรีฟิกซ์เหล่านั้นจากเกตเวย์ลูกค้า
ไม่ว่าจะแบบใด อุโมงค์อ้างอิงเส้นทาง สิ่งที่เข้าไปข้างในถูกกำหนดโดยตัวเลือกที่อุปกรณ์ของคุณเจรจา ไม่ใช่จำนวนซับเน็ตที่พิมพ์ลงในแบบฟอร์มได้
จับตาดูว่าเกตเวย์ลูกค้าเจรจาอะไร
อุปกรณ์ที่อิงนโยบายสามารถเปลี่ยนแต่ละรายการนโยบายให้เป็น SA ของตัวเอง LAN สองวงหมายถึงสองรายการ ซึ่งหมายถึงสอง SA และนี่คือจุดที่ขีดจำกัดต่ออุโมงค์เริ่มมีความหมาย ข้อกำหนดของเกตเวย์ลูกค้า เตือนเกี่ยวกับพฤติกรรมนี้โดยเฉพาะและแนะนำกฎที่รวมกันบนอุปกรณ์เหล่านั้น ตรวจสอบตัวเลือกที่เจรจาแล้วแทนที่จะนับ ACL บนอุปกรณ์
อุปกรณ์ต้องได้รับการกำหนดค่าให้แสดงพรีฟิกซ์ทั้งสองภายใต้นโยบายเดียว มิฉะนั้นปลายทางไกลจะไม่สามารถรักษาผลลัพธ์ไว้ได้
สามบัญชีแยกจากกัน
ผสมสามรายการนี้เข้าด้วยกันแล้วทุกการเปลี่ยนแปลงจะกลายเป็นการเดา เก็บไว้เป็นคอลัมน์แยกและกรอกแต่ละรายการสำหรับเครือข่ายของคุณเอง
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
มีเพียงคอลัมน์กลางเท่านั้นที่ถูกจำกัดโดยขีดจำกัด SA คอลัมน์แรกคือข้อเท็จจริงทางธุรกิจ และคอลัมน์ที่สามคือสิ่งที่ทำให้แอปพลิเคชันทำงาน อ่านตัวเลือกที่ยอมรับบนอุปกรณ์แทนการอนุมานความครอบคลุมจากจำนวนบรรทัด ACL ที่คุณเขียน
รวมโดยไม่ขยายสิทธิ์
เส้นทางสรุปเป็นวิธีที่ชัดเจนในการได้รายการนโยบายเดียว และยังเป็นวิธีที่ชุดที่ได้รับการป้องกันเติบโตอย่างเงียบ ๆ /20 ที่ครอบคลุมทั้ง /24 ทั้งสองยังครอบคลุมที่อยู่ที่ไม่มีสาขาใดใช้งาน และอุโมงค์จะพาไปอย่างเต็มใจ หากต้องสรุป ให้จับคู่กับการกรองฝั่งรับเพื่อให้พื้นที่ส่วนเกินถูกปฏิเสธ ไม่ใช่แค่ไม่ถูกประกาศ แพ็กเก็ตที่ถูกปฏิเสธคือหลักฐาน ที่อยู่ที่ไม่ถูกประกาศเป็นเพียงการไม่มีหลักฐาน
การรวมนโยบายการป้องกันคือการเปลี่ยนแปลงสิ่งที่สามารถเข้ารหัสได้ ไม่ใช่การให้สิทธิ์เข้าถึง และไม่ควรถือว่าเป็นเช่นนั้น
ทดสอบ LAN ทั้งสองแล้วจึงเก็บอุโมงค์ทั้งสองไว้
หลังการเปลี่ยนแปลงที่ประสานกัน ตรวจสอบขอบเขตการป้องกันที่ใช้งานอยู่แล้วเรียกใช้แอปพลิเคชันจริงจากแต่ละ LAN การที่ซับเน็ตหนึ่งทำงานไม่ได้พิสูจน์อะไรเกี่ยวกับความครอบคลุมของตัวเลือกของอีกวง และยิ่งน้อยลงเกี่ยวกับเส้นทางตอบกลับ
เก็บอุโมงค์ทั้งสองไว้ในการออกแบบ การรวมนโยบายไม่ใช่การอนุญาตให้ทิ้งความซ้ำซ้อน และอุโมงค์เดียวที่พาทุก LAN ของสาขาจะทำให้หน้าต่างบำรุงรักษาครั้งถัดไปกลายเป็นการหยุดให้บริการ
เขียนตัวเลือกที่เจรจาแล้ว พรีฟิกซ์ทั้งสอง และเจ้าของเส้นทางลงในบันทึกการเปลี่ยนแปลงเดียวกัน เมื่อ LAN ที่สามมาถึง บันทึกนั้นจะบอกคุณว่าคุณกำลังเพิ่มตัวเลือกหรือเริ่มต้นใหม่