Bitta AWS VPN tunnelida bir nechta LAN: SA chegarasi nimani anglatadi
AWS har bir tunnel uchun bitta IPsec SA juftligiga ruxsat beradi va bu bitta subnet chegarasi emas. Avval himoya doirasini marshrutlash va kirishdan ajrating.
AWS Site-to-Site VPN ga ikkinchi filial LAN qo'shish o'sha tunnel ichida ikkinchi mustaqil IPsec birlashmasini talab qilmaydi. Odamlar qoqiladigan chegara haqiqiy, ammo eshitilganidan tor: AWS hujjatlashtiradi har bir tunnel uchun bitta noyob IPsec SA juftligi, biri kiruvchi va biri chiquvchi, va bitta ulanishdagi ikkita tunnel har biri o'z juftligini oladi. Bu xizmatning xususiyati, IPsec bir vaqtning o'zida bitta subnetni himoya qiladi degan qoida emas. Bu farq eng muhim bo'ladigan holat — siyosatga asoslangan mijoz shlyuzi har bir siyosat yozuvini o'z birlashmasiga aylantirganda.
LAN ro'yxatidan emas, ulanishdan boshlang
Konsolda ulanishni oching va u qanday marshrutlanishini kuzating. Statik ulanish siz e'lon qilgan masofaviy prefikslarni tashiydi. BGP ulanishi ularni mijoz shlyuzidan o'rganadi.
Qanday bo'lsa ham, tunnel marshrutga asoslangan. Ichkariga nima kirishini qurilmangiz kelishadigan selektorlar belgilaydi, formaga yozish mumkin bo'lgan subnetlar soni emas.
Mijoz shlyuzi nima kelishishini kuzating
Siyosatga asoslangan qurilma har bir siyosat yozuvini o'z SA siga aylantirishi mumkin. Ikki LAN ikki yozuv demakdir, bu ikki SA demakdir, va shu yerda tunnel boshiga chegara ahamiyat kasb eta boshlaydi. Mijoz shlyuziga qo'yiladigan talablar aynan shu xatti-harakatdan ogohlantiradi va o'sha qurilmalarda birlashtirilgan qoidalarni taklif qiladi. Qurilmadagi ACL sonini emas, kelishilgan selektorlarni tekshiring.
Qurilma ikkala prefiksni bitta siyosat ostida taqdim etish uchun sozlanishi kerak, aks holda qarama-qarshi tomon natijani ushlab turolmaydi.
Uchta inventar, alohida saqlanadi
Bu uchta ro'yxatni aralashtiring va har bir o'zgarish taxminga aylanadi. Ularni alohida ustunlar sifatida saqlang va har birini o'z tarmog'ingiz uchun to'ldiring.
| Inventory | What belongs there |
|---|---|
| Required networks | 10.20.10.0/24 and 10.20.30.0/24, as presented after any deliberate translation |
| Protection agreement | the selectors the tunnel actually negotiated for those prefixes |
| Delivery and permission | VPC routes, return routes, security groups and any filtering |
Faqat o'rta ustun SA chegarasi bilan cheklangan. Birinchi ustun biznes fakti, uchinchisi esa ilovani ishlaydigan qiladigan narsa. Qurilmadagi qabul qilingan selektorlarni o'qing, yozgan ACL satrlaringiz sonidan qamrovni taxmin qilish o'rniga.
Ruxsatni kengaytirmasdan birlashtiring
Yig'ma marshrut bitta siyosat yozuvini olishning ravshan yo'li, va himoyalangan to'plamning jimgina o'sish yo'li ham shu. Ikkala /24 ni qamrab oluvchi /20 hech bir filial ishlatmaydigan manzillarni ham qamrab oladi, va tunnel ularni bajonidil tashiydi. Agar yig'ishga to'g'ri kelsa, uni qabul qiluvchi tomondagi filtrlash bilan bog'lang, shunda ortiqcha bo'shliq shunchaki e'lon qilinmay qolmay, rad etiladi. Rad etilgan paket dalil. E'lon qilinmagan manzil faqat dalilning yo'qligi.
Himoya siyosatini birlashtirish shifrlanishi mumkin bo'lgan narsaning o'zgarishi. Bu kirish huquqini berish emas va shunday qabul qilinmasligi kerak.
Ikkala LANni sinab ko'ring, so'ng ikkala tunnelni ham saqlang
Muvofiqlashtirilgan o'zgarishdan keyin faol himoya doirasini tekshiring, so'ng har bir LANdan haqiqiy ilovani ishga tushiring. Bitta subnetning ishlashi ikkinchisining selektor qamrovi haqida hech narsani isbotlamaydi, uning javob marshruti haqida esa undan ham kam.
Dizaynda ikkala tunnelni ham saqlang. Siyosatni birlashtirish ortiqchalikdan voz kechish ruxsati emas, va har bir filial LANini tashiydigan yagona tunnel keyingi texnik xizmat oynasini uzilishga aylantiradi.
Kelishilgan selektorlarni, ikkala prefiksni va marshrut egalarini bitta o'zgarish yozuviga yozing. Uchinchi LAN kelganda, bu yozuv sizga selektor qo'shayotganingizni yoki boshidan boshlayotganingizni aytadi.