主页 / server / 问题 / 861454
Accepted
Matrix
Asked: 2017-07-12 00:35:04 +0800 CST

从 VPC 到本地网络的单向 VPN 连接

  • 772

我想通过一个 VPN 连接将 VPC 连接到本地服务器。这只能是单向（从 AWS 到本地、传出）连接，而不是站点到站点。

我已经设置了 AWS VPN 连接、虚拟专用网关和客户网关 (Cisco-ASA)。但我发现这是双向连接，它要求客户打开与我们的连接并保持打开状态，以便我们可以与他们建立 VPN 连接。

这是我在 AWS 端实现的：

https://aws.amazon.com/answers/networking/aws-multiple-vpc-vpn-connection-sharing/

正如我们发现的传出连接，唯一的方法是 Cisco AnyConnect，这意味着在 VPC 中，我们需要一台安装了 Cisco AnyConnect 的服务器，然后我们才能建立此连接。

我想知道在这种情况下是否有更好的方法来建立单向（传出）VPN 连接？（仅从 VPC 到本地）

任何帮助，将不胜感激。

第二个问题：

如果我使用 AWS 的 VPN 连接连接到我们的数据中心，如何将多个 VPC 连接到一个 VPN 连接？我有一个已在其上建立 VPN 的主 VPC，我创建了另一个 VPC，其中有一个服务器，并对这两个 VPC 进行对等。我的第二个 VPC 与数据中心之间没有任何连接。路由表如下所示：

VPN-VPC1 路由表： 

Destination          Target
privateIP(VPC1)       local
0.0.0.0/0             igw
datacenter-network1   vgw
datacenter-network2   vgw
privateIP(VPC2)       pcx

VPC2路由表：（子网关联：10.0.1.0/24）

Destination          Target   
privateIP(VPC2)       local
0.0.0.0/0             igw
privateIP(VPC1)       pcx

数据中心与 10.0.1.10/24 之间没有连接

我在这里错过了什么吗？

amazon-web-services

1 个回答

  1. Best Answer

    VPC 中没有您需要的本地支持。

    问题的根源在于VPC 的硬件 VPN并不是真正为连接第三方网络而设计的。它旨在将您的 VPC 互连到您的物理数据中心网络——一种受信任的连接。VPC VPN 连接实际上是完全开放的，仅受您的安全组和网络 ACL 的限制——它没有路由表或任何自己的过滤，并且有一些其他限制，所以它确实不是最好的外部连接的选择。当然，对于与您的数据中心的连接......这非常好。

    正如我们发现的传出连接，唯一的方法是 Cisco AnyConnect

    这不是唯一的方法……但它必须通过运行 IPSec VPN 软件的 EC2 实例来完成。有我熟悉的三个包，它们都很相似：openswan、libreswan 和 strongswan。您可以构建自己的隧道服务器。

    如果你走这条路，正确配置 IP 地址有点棘手，但这是一个可行的解决方案。这就是我与外部公司建立 IPSec 的方式。

    情况不一样，但是将您的地址在实例的私有 IP 和实例的弹性 IP (EIP) 之间拆分的想法类似于我为“左侧”（“我们”一侧，由我的约定）在两个 AWS 实例之间的 Strongswan VPN 隧道中无法连接：

    left=10.10.10.10         # instance private IP of local system
leftsourceip=10.10.10.10 # instance private IP of local system
leftid=203.x.x.x         # elastic IP of local system
leftsubnet=10.x.x.x/xx

    或者，AWS Marketplace中可能还有其他产品可以为您提供终止 IPSec 隧道的 EC2 实例......但没有其他选择，除非您在 AWS 之外有一个异地硬件网关，并且您想要将 VPC 硬件 VPN 连接和您的第三方连接都从该设备发出。

    • 1

相关问题