AWS VPN'da mahalliy va uzoq CIDR: qaysi tomon qaysi?

Site-to-Site VPN parametrlarini ochasiz, mahalliy va uzoq deb belgilangan ikkita CIDR maydonini ko‘rasiz va mahalliy deb hisoblagan manzilga, ya'ni VPC'ga qo‘l cho‘zasiz. Bu API nazarda tutgan narsaning aksi. Ulanish parametrlarida LocalIpv4NetworkCidr mijoz shlyuzi tomonini, RemoteIpv4NetworkCidr esa AWS tomonini nomlaydi, chunki ulanish mijoz shlyuzidan quriladi. Konsol buni hech qachon baland ovozda aytmaydi va hech narsa ishonchli ko‘rinadigan almashtirishni rad etmaydi.

Konsol yorlig‘idan emas, API chaqiruvidan boshlang

Ulanish parametrlari ma'lumotnomasini bir marta to‘liq o‘qing va har bir parametr mijoz shlyuzi nuqtai nazaridan yozilganini payqang. Bu nomlanishning tasodifi emas. Tunnel sizning tomoningizda uni tugatuvchi qurilmaga ko‘rinadigan tarzda tasvirlanadi, shuning uchun mahalliy shlyuzingiz orqasidagi tarmoqni, uzoq esa AWS shlyuzi orqasidagi tarmoqni bildiradi. IPv4 ham, IPv6 ham maydonlari bir xil qoidaga bo‘ysunadi.

Biror narsa yozishdan oldin ikkita yorliqni yopishqoq qog‘ozga yozing: mijoz tomoni, AWS tomoni. So‘ng manzillaringizni ularga moslang.

Rollar belgilangan ishlangan misol

Mahalliy prefiks 10.20.0.0/16, VPC prefiksi esa 10.60.0.0/16 deb faraz qilaylik. Parametrlar rollar aytganidek o‘qiladi, mahalliy diapazon mahalliy maydonda turadi:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Endi o‘sha juftlikni hamkor qurilmasini sozlayotgan kishiga bering va tuzoq qanday ishlashini kuzating. Ko‘pgina xavfsizlik devorlarida mahalliy tunnel tugaydigan interfeysni, uzoq esa olis uchini bildiradi, bu AWS tomoni uchun teskari moslashtirish. Ikkalasi ham haq bo‘lishi mumkin va baribir hech qachon tugamaydigan tunnel paydo bo‘ladi, chunki ikki lug‘at turli oxirgi nuqtalarni tasvirlaydi.

Har qanday qurilmaga tegishdan oldin mashqni hamkor terminologiyasida qog‘ozda takrorlang, ikkala CIDR va ikkala yorliq bilan.

Standart qiymatlar loyiha emas

O‘sha ma'lumotnoma IPv4 ning ikkala maydoni uchun standart sifatida 0.0.0.0/0 ni ko‘rsatadi, IPv6 uchun ham shunga o‘xshash qiymatlar bor. Bu qiymatlarni mavjud ulanishda ko‘rish maydon hech qachon toraytirilmaganini bildiradi, internet chiqishi sozlanganini emas. Marshrutlar taqsimoti, quyi tarmoq marshrut jadvali va xavfsizlik nazorati qaysi trafik haqiqatan o‘ta olishini hali ham hal qiladi; CIDR qiymatlari faqat tunnel qaysi diapazonlarni tanlashga tayyorligini tasvirlaydi.

Shuning uchun tor qiymatni standart bilan almashtirish tunnel noto‘g‘ri ishlaganda qo‘llanadigan moslik hiylasi emas. U tanlagichni kengaytiradi va qolgan har bir qatlamni avvalgidek qoldiradi.

Hamkor qurilmasi boshqa nuqtai nazardan foydalanadi

AWS tomoni aniq bo‘lgach, qolgan chalkashlikning katta qismi hamkor konfiguratsiyasida bo‘ladi. Mahalliy tarmoq va uzoq tarmoqni so‘raydigan qurilma o‘z interfeysini mahalliy deb ta'riflaydi, shuning uchun VPC diapazoningiz uning uzoq maydoniga, mahalliy diapazoningiz esa uning mahalliy maydoniga tushadi. Agar u o‘rniga trafik tanlagichlarini juftlikda so‘rasa, siz ikkala yo‘nalishni ham ochiq yozasiz va yorliqlar juftlashtirishdan kamroq ahamiyatga ega.

Qurilmaning maydon nomlarini emas, maydon yordamini o‘qing. Ishlab chiqaruvchilar bir xil ikki so‘zni uch xil tushuncha uchun qayta ishlatadi.

So‘ng tunnel holatini ikkala faza uchun tekshiring, chunki mos kelmaydigan tanlagich odatda ikkinchi fazaning nosozligi sifatida ko‘rinadi, birinchi faza esa xotirjam o‘rnatilgan holda qoladi.

Parametrlarni hujjat emas, o‘zgarish sifatida o‘zgartiring

Ishlayotgan VPN'da ulanish parametrlarini tahrirlash xizmatni uzishi mumkin, shuning uchun buni vaqt oynasi, qaytarish qiymati va kimga ta'sir qilishi haqidagi eslatma bilan texnik xizmat amali sifatida qabul qiling. Avval joriy parametrlarni, ikkala CIDR maydoni va tunnel parametrlarini qo‘shib yozib oling, shunda qaytarish qayta qurish emas, qo‘yish bo‘ladi.

O‘zgarishdan keyin AWS tomonidan va hamkordan tekshiring: har bir diapazondagi manba boshqasidagi manzilga yetadi, ikkala yo‘nalishda ham. Bir tomondan bitta ping faqat bitta tanlagichni isbotlaydi.

So‘ng ulanish hujjatini rollarni yozib yangilang, keyingi odam mahalliy sizning tomoningiz ekanini qaytadan kashf etishiga to‘g‘ri kelmasin.