CIDR lokal at malayo sa AWS VPN: aling panig ang alin?

Binubuksan mo ang mga opsyon ng Site-to-Site VPN, nakikita mo ang dalawang kahon ng CIDR na may label na lokal at malayo, at inaabot mo ang address na itinuturing mong lokal: ang VPC. Kabaligtaran iyon ng ibig sabihin ng API. Sa mga opsyon ng koneksyon, pinapangalanan ng LocalIpv4NetworkCidr ang panig ng gateway ng kliyente at ng RemoteIpv4NetworkCidr ang panig ng AWS, dahil mula sa gateway ng kliyente itinatayo ang koneksyon. Hindi ito sinasabi ng console nang malakas, at walang tumatanggi sa isang palit na mukhang makatwiran.

Magsimula sa tawag sa API, hindi sa label ng console

Basahin ang sanggunian ng mga opsyon ng koneksyon nang isang beses hanggang dulo at mapansin na ang bawat opsyon ay nakasulat mula sa pananaw ng gateway ng kliyente. Hindi ito pagkakataon sa pagpapangalan. Inilalarawan ang tunnel ayon sa nakikita ng device na nagtatapos nito sa panig mo, kaya lokal ay nangangahulugang network sa likod ng gateway mo at malayo ay network sa likod ng gateway ng AWS. Parehong sinusunod ng mga field na IPv4 at IPv6 ang parehong tuntunin.

Isulat ang dalawang label sa sticky note bago mag-type ng anuman: panig ng kliyente, panig ng AWS. Pagkatapos itugma ang mga address mo sa mga iyon.

Isang halimbawang may mga papel

Ipagpalagay na ang lokal na prefix ay 10.20.0.0/16 at ang prefix ng VPC ay 10.60.0.0/16. Binabasa ang mga opsyon nang eksakto ayon sa sinasabi ng mga papel, kasama ang lokal na saklaw sa lokal na field:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Ngayon ibigay ang parehong pares sa sinumang nagko-configure ng peer device at panoorin kung paano pumapag ang bitag. Sa maraming firewall, ang lokal ay ang interface kung saan nagtatapos ang tunnel at ang malayo ay ang dulong dulo, na siyang baligtad na pagmamapa para sa panig ng AWS. Maaaring tama ang dalawa at makabuo pa rin ng tunnel na hindi natatapos, dahil inilalarawan ng dalawang bokabularyo ang magkaibang dulo.

Ulitin ang pagsasanay sa papel sa terminolohiya ng peer, kasama ang dalawang CIDR at dalawang label, bago hawakan ang anumang device.

Ang default ay hindi disenyo

Inililista ng parehong sanggunian ang 0.0.0.0/0 bilang default para sa dalawang field ng IPv4, na may katulad na halaga para sa IPv6. Ang makita ang mga halagang iyon sa umiiral na koneksyon ay nagsasabing hindi kailanman pinagkitid ang field, hindi na na-configure ang labasan sa internet. Ang distribusyon ng ruta, ang talahanayan ng ruta ng subnet at ang mga kontrol sa seguridad ang humuhubog pa rin kung aling trapiko ang tunay na makakadaan; inilalarawan lamang ng mga halaga ng CIDR kung aling mga saklaw ang handang piliin ng tunnel.

Kaya ang pagpapalit ng mas makitid na halaga ng default ay hindi isang pakulo ng pagiging tugma na ilalapat kapag mali ang inaasal ng tunnel. Pinapalawak nito ang pumipili at iniiwan ang bawat ibang layer nang eksakto tulad ng dati.

Ginagamit ng peer device ang kabilang pananaw

Kapag malinaw na ang panig ng AWS, ang configuration ng peer ang pinaglalagyan ng karamihan ng natitirang kalituhan. Ang device na humihingi ng lokal na network at malayong network ay inilalarawan ang sariling interface bilang lokal, kaya ang saklaw ng VPC mo ay napupunta sa malayong field nito at ang lokal na saklaw mo ay sa lokal na field nito. Kung sa halip ay humihingi ito ng mga tagapili ng trapiko nang pares, isinusulat mo nang hayag ang dalawang direksyon at mas mahalaga ang pagpapares kaysa sa mga label.

Basahin ang tulong ng mga field ng device, hindi ang mga pangalan ng field nito. Ginagamit muli ng mga tagagawa ang parehong dalawang salita para sa tatlong magkaibang konsepto.

Pagkatapos suriin ang estado ng tunnel para sa dalawang yugto, dahil ang hindi tugmang tagapili ay kadalasang lumilitaw bilang pagkabigo sa ikalawang yugto habang tahimik na nakatayo ang unang yugto.

Baguhin ang mga opsyon tulad ng isang pagbabago, hindi tulad ng dokumentasyon

Ang pag-edit ng mga opsyon ng koneksyon sa aktibong VPN ay maaaring makagambala sa serbisyo, kaya ituring itong gawain sa pagpapanatili na may window, halaga ng pagbabalik at tala kung sino ang apektado. Kunan muna ang mga kasalukuyang opsyon, kasama ang dalawang field ng CIDR at mga opsyon ng tunnel, upang ang pagbalik ay pag-paste at hindi muling pagbuo.

Pagkatapos ng pagbabago, i-verify mula sa panig ng AWS at mula sa peer: isang pinagmulan sa bawat saklaw na umaabot sa patutunguhan sa isa pa, sa dalawang direksyon. Isang ping mula sa isang panig ay nagpapatunay ng isang tagapili lamang.

Pagkatapos i-update ang dokumentasyon ng koneksyon na nakasulat ang mga papel, upang hindi na kailangang muling matuklasan ng susunod na tao na lokal ay nangangahulugang panig mo.