CIDR cục bộ và từ xa trong AWS VPN: bên nào là bên nào?

Bạn mở tùy chọn Site-to-Site VPN, thấy hai ô CIDR gắn nhãn cục bộ và từ xa, và với tay tới địa chỉ mà bạn coi là cục bộ: VPC. Đó là ngược với điều API muốn nói. Trong tùy chọn kết nối, LocalIpv4NetworkCidr đặt tên phía cổng khách hàng còn RemoteIpv4NetworkCidr đặt tên phía AWS, vì kết nối được dựng từ cổng khách hàng. Bảng điều khiển không bao giờ nói to điều này, và không gì từ chối một sự hoán đổi trông có lý.

Bắt đầu từ lệnh gọi API, không phải nhãn trên bảng điều khiển

Đọc tài liệu tham chiếu tùy chọn kết nối một lần từ đầu đến cuối và để ý rằng mọi tùy chọn đều được viết từ góc nhìn của cổng khách hàng. Đó không phải sự trùng hợp của cách đặt tên. Đường hầm được mô tả như thiết bị kết thúc nó ở phía bạn nhìn thấy, nên cục bộ nghĩa là mạng sau cổng của bạn và từ xa là mạng sau cổng AWS. Cả trường IPv4 lẫn IPv6 đều theo cùng quy tắc.

Viết hai nhãn lên giấy nhớ trước khi gõ bất cứ thứ gì: phía khách hàng, phía AWS. Sau đó ánh xạ địa chỉ của bạn vào đó.

Một ví dụ đã làm với các vai trò

Giả sử tiền tố cục bộ là 10.20.0.0/16 và tiền tố VPC là 10.60.0.0/16. Các tùy chọn đọc đúng như vai trò gợi ý, với dải cục bộ nằm trong trường cục bộ:

{
  "LocalIpv4NetworkCidr": "10.20.0.0/16",
  "RemoteIpv4NetworkCidr": "10.60.0.0/16"
}

Giờ đưa cặp đó cho người cấu hình thiết bị đối tác và xem cái bẫy hoạt động. Trên nhiều tường lửa, cục bộ nghĩa là giao diện nơi đường hầm kết thúc còn từ xa là đầu phía bên kia, tức ánh xạ ngược cho phía AWS. Cả hai người đều có thể đúng mà vẫn tạo ra một đường hầm không bao giờ thành hình, vì hai bộ từ vựng mô tả hai điểm cuối khác nhau.

Lặp lại bài tập trên giấy theo thuật ngữ của đối tác, với cả hai CIDR và cả hai nhãn, trước khi chạm vào bất kỳ thiết bị nào.

Giá trị mặc định không phải thiết kế

Cùng tài liệu đó liệt kê 0.0.0.0/0 là mặc định cho cả hai trường IPv4, với giá trị tương tự cho IPv6. Thấy những giá trị ấy trong một kết nối đang có nghĩa là trường chưa bao giờ được thu hẹp, chứ không phải đã cấu hình một lối ra internet. Việc phân phối tuyến, bảng tuyến của mạng con và các kiểm soát bảo mật vẫn quyết định lưu lượng nào thực sự đi qua; giá trị CIDR chỉ mô tả những dải mà đường hầm sẵn lòng chọn.

Vì vậy thay một giá trị hẹp hơn bằng giá trị mặc định không phải mẹo tương thích để áp dụng khi đường hầm chạy sai. Nó mở rộng bộ chọn và để mọi lớp khác y nguyên như cũ.

Thiết bị đối tác dùng góc nhìn còn lại

Khi phía AWS đã rõ, cấu hình đối tác là nơi chứa phần lớn sự nhầm lẫn còn lại. Thiết bị hỏi mạng cục bộ và mạng từ xa mô tả giao diện của chính nó là cục bộ, nên dải VPC của bạn vào trường từ xa của nó còn dải cục bộ của bạn vào trường cục bộ của nó. Nếu thay vào đó nó hỏi bộ chọn lưu lượng theo cặp, bạn viết rõ cả hai chiều và nhãn ít quan trọng hơn việc ghép cặp.

Đọc phần trợ giúp trường của thiết bị, không phải tên trường. Các nhà sản xuất dùng lại đúng hai từ cho ba khái niệm khác nhau.

Sau đó kiểm tra trạng thái đường hầm cho cả hai giai đoạn, vì bộ chọn không khớp thường hiện ra như lỗi ở giai đoạn hai trong khi giai đoạn một vẫn đứng yên đã thiết lập.

Thay đổi tùy chọn như một thay đổi, không phải như tài liệu

Sửa tùy chọn kết nối trên VPN đang chạy có thể làm gián đoạn dịch vụ, nên hãy coi đó là thao tác bảo trì với khung thời gian, giá trị hoàn nguyên và ghi chú ai bị ảnh hưởng. Trước tiên ghi lại các tùy chọn hiện tại, gồm cả hai trường CIDR và tùy chọn đường hầm, để hoàn nguyên là dán chứ không phải dựng lại.

Sau thay đổi, xác minh từ phía AWS và từ đối tác: một nguồn trong mỗi dải đến được đích ở dải kia, theo cả hai chiều. Một ping từ một bên chỉ chứng minh một bộ chọn.

Sau đó cập nhật tài liệu kết nối với các vai trò được viết rõ, để người tiếp theo không phải khám phá lại rằng cục bộ nghĩa là phía của bạn.