Кілька мереж LAN в одному тунелі AWS VPN: що означає ліміт SA
AWS дозволяє одну пару IPsec SA на тунель, і це не обмеження на одну підмережу. Спершу відокремте область захисту від маршрутизації та доступу.
Додавання другої мережі LAN філії до AWS Site-to-Site VPN не потребує другої незалежної асоціації IPsec усередині цього тунелю. Обмеження, об яке спотикаються люди, реальне, але вужче, ніж здається: AWS документує одну унікальну пару IPsec SA на тунель, одну вхідну й одну вихідну, і два тунелі в одному з'єднанні отримують кожен свою пару. Це властивість сервісу, а не правило, що IPsec захищає одну підмережу за раз. Різниця найважливіша, коли шлюз клієнта на основі політик перетворює кожен запис політики на окрему асоціацію.
Почніть зі з'єднання, а не зі списку мереж LAN
Відкрийте з'єднання в консолі та зверніть увагу, як воно маршрутизується. Статичне з'єднання несе віддалені префікси, які ви оголосили. З'єднання BGP вивчає їх від шлюзу клієнта.
Так чи інакше, тунель побудований на маршрутах. Що до нього потрапляє, визначають селектори, які узгоджує ваш пристрій, а не кількість підмереж, які можна ввести у форму.
Стежте за тим, що узгоджує шлюз клієнта
Пристрій на основі політик може перетворити кожен запис політики на власну SA. Дві мережі LAN означають два записи, тобто дві SA, і тут ліміт на тунель починає мати значення. Вимоги до шлюзу клієнта попереджають саме про таку поведінку й пропонують об'єднані правила на таких пристроях. Перевіряйте узгоджені селектори, а не кількість правил ACL на пристрої.
Пристрій має бути налаштований так, щоб подавати обидва префікси в межах однієї політики, інакше віддалена сторона просто не втримає результат.
Три інвентаризації, що ведуться окремо
Змішайте ці три списки, і будь-яка зміна стане здогадкою. Тримайте їх окремими стовпцями й заповнюйте кожен для своєї мережі.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Лімітом SA обмежений лише середній стовпець. Перший стовпець — бізнес-факт, а третій — те, що змушує застосунок працювати. Читайте прийняті селектори на пристрої, замість того щоб виводити покриття з кількості написаних вами рядків ACL.
Консолідуйте, не розширюючи дозвіл
Сумарний маршрут — очевидний спосіб отримати один запис політики, і він же — спосіб, яким захищена множина тихо зростає. /20, що покриває обидві /24, покриває й адреси, які не використовує жодна філія, і тунель охоче їх перенесе. Якщо потрібно сумаризувати, поєднайте це з фільтрацією на приймальній стороні, щоб зайвий простір відхилявся, а не просто не оголошувався. Відхилений пакет — це доказ. Неоголошена адреса — лише відсутність доказу.
Консолідація політики захисту — це зміна того, що можна шифрувати. Це не надання доступу, і так до цього ставитися не слід.
Перевірте обидві мережі LAN, а потім збережіть обидва тунелі
Після узгодженої зміни перевірте активну область захисту, а потім запустіть реальний застосунок з кожної мережі LAN. Робота однієї підмережі нічого не доводить про покриття селекторів другої й тим паче про її зворотний шлях.
Збережіть обидва тунелі в проєкті. Консолідація політики не дає права відмовлятися від резервування, а один тунель, що несе кожну мережу LAN філії, перетворює наступне вікно обслуговування на простій.
Запишіть узгоджені селектори, обидва префікси й власників маршрутів у той самий запис змін. Коли з'явиться третя мережа LAN, цей запис скаже, чи ви додаєте селектор, чи починаєте заново.