ایک AWS VPN ٹنل پر متعدد LAN: SA حد کا کیا مطلب ہے
AWS فی ٹنل ایک IPsec SA جوڑے کی اجازت دیتا ہے، اور یہ ایک سب نیٹ کی حد نہیں ہے۔ پہلے تحفظ کے دائرے کو روٹنگ اور رسائی سے الگ کریں۔
AWS Site-to-Site VPN میں دوسرا برانچ LAN شامل کرنے کے لیے اس ٹنل کے اندر دوسری خودمختار IPsec انجمن کی ضرورت نہیں ہوتی۔ جس حد پر لوگ ٹھوکر کھاتے ہیں وہ حقیقی ہے، مگر سننے سے تنگ تر ہے: AWS دستاویز کرتا ہے فی ٹنل ایک منفرد IPsec SA جوڑا، ایک آنے والا اور ایک جانے والا، اور ایک کنکشن کی دونوں ٹنلیں اپنا اپنا جوڑا پاتی ہیں۔ یہ سروس کی خصوصیت ہے، یہ قاعدہ نہیں کہ IPsec ایک وقت میں ایک سب نیٹ کی حفاظت کرتا ہے۔ یہ فرق سب سے زیادہ اہم ہوتا ہے جب پالیسی پر مبنی کسٹمر گیٹ وے ہر پالیسی اندراج کو اپنی الگ انجمن بنا دیتا ہے۔
LAN فہرست سے نہیں، کنکشن سے شروع کریں
کنسول میں کنکشن کھولیں اور دیکھیں کہ اسے کیسے روٹ کیا جاتا ہے۔ جامد کنکشن آپ کے اعلان کردہ دور دراز پریفکس لے کر جاتا ہے۔ BGP کنکشن انہیں کسٹمر گیٹ وے سے سیکھتا ہے۔
بہرحال، ٹنل روٹ پر مبنی ہے۔ اس میں کیا جاتا ہے یہ آپ کے آلات کے گفت و شنید کردہ سلیکٹر طے کرتے ہیں، فارم میں لکھے جا سکنے والے سب نیٹ کی تعداد نہیں۔
دیکھیں کسٹمر گیٹ وے کیا گفت و شنید کرتا ہے
پالیسی پر مبنی آلہ ہر پالیسی اندراج کو اپنا SA بنا سکتا ہے۔ دو LAN کا مطلب دو اندراج، یعنی دو SA، اور یہیں سے فی ٹنل حد اہم ہونے لگتی ہے۔ کسٹمر گیٹ وے کی ضروریات بالکل اسی رویے سے خبردار کرتی ہیں اور ان آلات پر یکجا قواعد تجویز کرتی ہیں۔ آلات پر ACL کی گنتی کے بجائے گفت و شنید شدہ سلیکٹر چیک کریں۔
آلے کو ایک ہی پالیسی کے تحت دونوں پریفکس پیش کرنے کے لیے ترتیب دینا ہوگا، ورنہ دور کا سرا نتیجہ تھام نہیں سکے گا۔
تین فہرستیں، الگ رکھی گئی
ان تین فہرستوں کو ملائیں اور ہر تبدیلی اندازہ بن جاتی ہے۔ انہیں الگ کالم رکھیں اور ہر ایک اپنے نیٹ ورک کے لیے بھریں۔
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
صرف درمیانی کالم SA حد سے محدود ہے۔ پہلا کالم کاروباری حقیقت ہے، اور تیسرا وہ ہے جو ایپلیکیشن کو چلاتا ہے۔ آپ کی لکھی ہوئی ACL سطروں کی تعداد سے کوریج کا اندازہ لگانے کے بجائے آلے پر قبول شدہ سلیکٹر پڑھیں۔
اجازت وسیع کیے بغیر یکجا کریں
خلاصہ روٹ ایک پالیسی اندراج حاصل کرنے کا واضح طریقہ ہے، اور یہ وہی طریقہ بھی ہے جس سے محفوظ مجموعہ خاموشی سے بڑھتا ہے۔ دونوں /24 کو ڈھانپنے والا /20 ایسے پتے بھی ڈھانپتا ہے جو کوئی برانچ استعمال نہیں کرتی، اور ٹنل انہیں خوشی سے لے جائے گا۔ اگر خلاصہ کرنا ہی ہو تو اسے وصول کنندہ طرف فلٹرنگ کے ساتھ جوڑیں تاکہ اضافی جگہ محض اعلان نہ ہونے کے بجائے مسترد ہو۔ مسترد شدہ پیکٹ ثبوت ہے۔ غیر اعلان شدہ پتہ ثبوت کی عدم موجودگی ہے۔
تحفظ کی پالیسی کو یکجا کرنا اس بات میں تبدیلی ہے کہ کیا خفیہ کیا جا سکتا ہے۔ یہ رسائی دینا نہیں ہے اور اسے ایسا نہیں سمجھا جانا چاہیے۔
دونوں LAN جانچیں، پھر دونوں ٹنلیں رکھیں
ہم آہنگ تبدیلی کے بعد فعال تحفظ کا دائرہ معائنہ کریں اور پھر ہر LAN سے حقیقی ایپلیکیشن چلائیں۔ ایک سب نیٹ کا کام کرنا دوسرے کی سلیکٹر کوریج کے بارے میں کچھ ثابت نہیں کرتا، اور اس کے جوابی راستے کے بارے میں اس سے بھی کم۔
ڈیزائن میں دونوں ٹنلیں رکھیں۔ پالیسی کو یکجا کرنا فالتو پن کو پھینکنے کی اجازت نہیں ہے، اور ہر برانچ LAN لے جانے والی ایک ٹنل اگلی دیکھ بھال کی ونڈو کو تعطل بنا دیتی ہے۔
گفت و شنید شدہ سلیکٹر، دونوں پریفکس اور روٹ مالکان کو ایک ہی تبدیلی ریکارڈ میں لکھیں۔ جب تیسرا LAN آئے گا، وہ ریکارڈ آپ کو بتائے گا کہ آپ سلیکٹر شامل کر رہے ہیں یا نئے سرے سے شروع کر رہے ہیں۔