Tek Bir AWS VPN Tünelinde Birden Çok LAN: SA Sınırı Ne Anlama Gelir
AWS tünel başına bir IPsec SA çiftine izin verir ve bu tek bir alt ağ sınırı değildir. Önce koruma kapsamını yönlendirme ve erişimden ayırın.
AWS Site-to-Site VPN'e ikinci bir şube LAN'ı eklemek o tünelin içinde ikinci bir bağımsız IPsec ilişkilendirmesi gerektirmez. İnsanların takıldığı sınır gerçektir ama kulağa geldiğinden dardır: AWS şunu belgeliyor tünel başına bir benzersiz IPsec SA çifti, biri gelen biri giden, ve bir bağlantıdaki iki tünel de kendi çiftini alır. Bu, hizmetin bir özelliğidir; IPsec'in aynı anda tek bir alt ağı koruduğu kuralı değildir. Ayrımın önemi en çok, ilke tabanlı bir müşteri ağ geçidi her ilke girdisini kendi ilişkilendirmesine dönüştürdüğünde ortaya çıkar.
LAN listesiyle değil, bağlantıyla başlayın
Konsolda bağlantıyı açın ve nasıl yönlendirildiğine dikkat edin. Statik bağlantı, bildirdiğiniz uzak önekleri taşır. BGP bağlantısı bunları müşteri ağ geçidinden öğrenir.
Her durumda tünel yönlendirme tabanlıdır. İçine ne gireceğine cihazınızın görüştüğü seçiciler karar verir, bir forma yazabileceğiniz alt ağ sayısı değil.
Müşteri ağ geçidinin neyi görüştüğüne dikkat edin
İlke tabanlı bir cihaz her ilke girdisini kendi SA'sına dönüştürebilir. İki LAN iki girdi demektir, bu da iki SA demektir ve tünel başına sınır burada önem kazanmaya başlar. Müşteri ağ geçidi gereksinimleri tam olarak bu davranışa karşı uyarır ve bu cihazlarda birleştirilmiş kurallar önerir. Cihazdaki ACL sayısı yerine görüşülen seçicileri kontrol edin.
Cihaz, her iki öneki tek bir ilke altında sunacak şekilde yapılandırılmalıdır, aksi halde karşı taraf sonucu tutamaz.
Üç envanter, ayrı tutulur
Bu üç listeyi karıştırın ve her değişiklik tahmine dönüşür. Bunları ayrı sütunlar olarak tutun ve her birini kendi ağınız için doldurun.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
SA sınırıyla yalnızca orta sütun kısıtlanır. İlk sütun bir iş gerçeğidir, üçüncüsü ise bir uygulamayı çalıştıran şeydir. Yazdığınız ACL satırı sayısından kapsam çıkarsamak yerine cihazdaki kabul edilen seçicileri okuyun.
İzni genişletmeden birleştirin
Özet rota, tek bir ilke girdisi elde etmenin açık yoludur ve korunan kümenin sessizce büyüme yoludur da. Her iki /24'ü kapsayan bir /20, iki şubenin de kullanmadığı adresleri de kapsar ve tünel bunları memnuniyetle taşır. Özetlemeniz gerekiyorsa, alıcı tarafta filtrelemeyle eşleştirin ki fazla alan yalnızca duyurulmamakla kalmayıp reddedilsin. Reddedilen paket kanıttır. Duyurulmayan adres ise yalnızca kanıt yokluğudur.
Koruma ilkesini birleştirmek, nelerin şifrelenebileceğinde bir değişikliktir. Bu bir erişim verilmesi değildir ve öyle ele alınmamalıdır.
Her iki LAN'ı test edin, sonra iki tüneli de koruyun
Eşgüdümlü bir değişiklikten sonra etkin koruma kapsamını inceleyin ve ardından her LAN'dan gerçek bir uygulama çalıştırın. Bir alt ağın çalışması ikincisinin seçici kapsamı hakkında hiçbir şey kanıtlamaz, yanıt yolunu ise daha da az.
Tasarımda iki tüneli de koruyun. İlkeyi birleştirmek yedekliliği çöpe atma izni değildir ve her şube LAN'ını taşıyan tek bir tünel bir sonraki bakım penceresini kesintiye dönüştürür.
Görüşülen seçicileri, iki öneki ve rota sahiplerini aynı değişiklik kaydına yazın. Üçüncü bir LAN geldiğinde, bu kayıt size bir seçici mi eklediğinizi yoksa baştan mı başladığınızı söyler.