Nhiều LAN trên một đường hầm AWS VPN: giới hạn SA có nghĩa là gì

Thêm một LAN chi nhánh thứ hai vào AWS Site-to-Site VPN không đòi hỏi một liên kết IPsec độc lập thứ hai bên trong đường hầm đó. Giới hạn mà mọi người vấp phải là có thật nhưng hẹp hơn vẻ ngoài của nó: AWS tài liệu hóa một cặp IPsec SA duy nhất cho mỗi đường hầm, một chiều vào và một chiều ra, và hai đường hầm trong một kết nối mỗi bên nhận cặp của riêng mình. Đó là thuộc tính của dịch vụ, không phải quy tắc rằng IPsec bảo vệ một mạng con tại một thời điểm. Sự khác biệt quan trọng nhất khi một cổng khách hàng dựa trên chính sách biến mỗi mục chính sách thành liên kết riêng của nó.

Bắt đầu từ kết nối, không phải từ danh sách LAN

Mở kết nối trong bảng điều khiển và chú ý cách nó được định tuyến. Kết nối tĩnh mang các tiền tố từ xa mà bạn đã khai báo. Kết nối BGP học chúng từ cổng khách hàng.

Dù thế nào, đường hầm dựa trên định tuyến. Những gì đi vào bên trong do các bộ chọn mà thiết bị của bạn thương lượng quyết định, không phải số mạng con bạn có thể gõ vào biểu mẫu.

Theo dõi những gì cổng khách hàng thương lượng

Thiết bị dựa trên chính sách có thể biến mỗi mục chính sách thành SA riêng của nó. Hai LAN nghĩa là hai mục, nghĩa là hai SA, và đây là nơi giới hạn mỗi đường hầm bắt đầu có ý nghĩa. Yêu cầu của cổng khách hàng cảnh báo chính xác về hành vi này và đề xuất các quy tắc hợp nhất trên những thiết bị đó. Kiểm tra các bộ chọn đã thương lượng thay vì số lượng ACL trên thiết bị.

Thiết bị phải được cấu hình để trình bày cả hai tiền tố dưới một chính sách duy nhất, nếu không đầu xa đơn giản là không thể giữ kết quả.

Ba bản kiểm kê, được giữ riêng

Trộn ba danh sách này và mọi thay đổi trở thành phỏng đoán. Giữ chúng như các cột riêng và điền từng cột cho mạng của riêng bạn.

Chỉ cột giữa bị giới hạn bởi giới hạn SA. Cột đầu tiên là một sự thật kinh doanh, và cột thứ ba là thứ khiến một ứng dụng hoạt động. Hãy đọc các bộ chọn được chấp nhận trên thiết bị thay vì suy ra phạm vi phủ từ số dòng ACL bạn đã viết.

Hợp nhất mà không mở rộng quyền

Tuyến tóm tắt là cách hiển nhiên để có một mục chính sách, và cũng là cách một tập hợp được bảo vệ âm thầm lớn lên. Một /20 bao phủ cả hai /24 cũng bao phủ các địa chỉ mà không chi nhánh nào dùng, và đường hầm sẽ sẵn lòng mang chúng. Nếu phải tóm tắt, hãy ghép nó với lọc ở phía nhận để không gian thừa bị từ chối thay vì chỉ không được công bố. Một gói bị từ chối là bằng chứng. Một địa chỉ không được công bố chỉ là sự thiếu vắng bằng chứng.

Hợp nhất chính sách bảo vệ là thay đổi những gì có thể được mã hóa. Đó không phải là cấp quyền truy cập và không nên bị đối xử như vậy.

Kiểm tra cả hai LAN, rồi giữ cả hai đường hầm

Sau một thay đổi được phối hợp, hãy kiểm tra phạm vi bảo vệ đang hoạt động rồi chạy một ứng dụng thực từ mỗi LAN. Một mạng con hoạt động không chứng minh được gì về phạm vi bộ chọn của mạng kia, và càng ít hơn về đường phản hồi của nó.

Giữ cả hai đường hầm trong thiết kế. Hợp nhất chính sách không phải là quyền vứt bỏ dự phòng, và một đường hầm duy nhất mang mọi LAN chi nhánh biến cửa sổ bảo trì tiếp theo thành gián đoạn.

Ghi các bộ chọn đã thương lượng, hai tiền tố và chủ sở hữu tuyến vào cùng một bản ghi thay đổi. Khi LAN thứ ba xuất hiện, bản ghi đó cho bạn biết bạn đang thêm một bộ chọn hay bắt đầu lại từ đầu.