AWS Client VPN met verdeelde tonnel: watter roetes moet jy publiseer

Die konsole bied 'n skakelaar vir verdeelde tonnel, so die besluit voel soos 'n merkie. Dit is nie. Wat werklik by die kliënt uitkom, is die eindpunt se gepubliseerde roetestel, en daardie lys bepaal watter private voorvoegsels die tonnel gebruik, of algemene internetverkeer plaaslik bly of deur AWS uitgaan, en met watter resolver die kliënt nog kan praat. Drie vrae beslis die ontwerp, en elkeen kan sleg beantwoord word terwyl die verbinding steeds slaag.

Verdeelde tonnel se vlag is nie 'n bestemmingslys nie

AWS dokumenteer verdeelde tonnel as die byvoeging van eindpuntroetes by die kliënt se roetetabel tydens die opbou van die verbinding. 'n Roete vir die private VPC beperk die tonnel tot daardie bestemming; alles anders volg die kliënt se gewone pad. 'n Standaardroete is 'n ander opdrag met 'n ander uitwerking, en daarom waarsku die dokumentasie oor verdeelde tonnel teen die publikasie van 0.0.0.0/0 op 'n eindpunt wat vir hierdie modus opgestel is: dit breek gewoonlik die verbinding eerder as om dit uit te brei. Die eindpunt se roetetabel is die beleid, en die kliënt se roetetabel is die resultaat wat jy kan inspeek.

Lees die eindpunt se roetetabel en die kliënt se geïnstalleerde roetes saam. Die etiket beskryf 'n bedoeling; die roetes beskryf wat gebeur.

Besluit een: moet algemene internetverkeer plaaslik bly?

As blaai bedoel is om die gebruiker se eie verbinding te gebruik, publiseer net die private bestemmings wat die werk nodig het en stop daar. Moenie 'n internetroete byvoeg omdat 'n voltonnel-gids een ingesluit het nie, en moenie aanneem die ekstra roete verbeter sekuriteit nie. Dit verander die pad, dit voeg nie 'n beleid by nie, en dit kos gewoonlik latensie waarvoor jy nie begroot het nie.

As internetverkeer deur AWS moet uitgaan, bou die gedokumenteerde internettoegang-argitektuur: eindpuntroete, magtigingsreëls, die geassosieerde subnet se pad, sekuriteitsbeleid en 'n werkende opstroom-uitgang. 'n Standaardroete alleen voorsien niks daarvan nie.

Besluit twee: watter private voorvoegsels, deur wie gemagtig?

Publiseer die kleinste stel bestemmings wat die werklike werklading dien, en kontroleer dat elke geassosieerde subnet na hulle kan roeteer. Die eindpunt se roeteteiken en die subnet se VPC-roetering is verskillende lae, en 'n roete wat in een bestaan is nie bewys oor die ander nie. Magtiging is weer apart: 'n bestemming kan bereikbaar wees en steeds geweier word omdat die kliënt se groep geen reël het wat dit toelaat nie.

Om 'n enkele suksesvolle sessie te toets bewys een pad. Kontroleer elke geassosieerde subnet, want 'n subnet-assosiasie wat later bygevoeg is, is juis waar die ontbrekende roete gewoonlik sit.

Wanneer 'n bestemming op naam bereikbaar moet wees, let op dat die naamoplossingsvraag volgende is, nie die roetevraag nie.

Besluit drie: watter resolver volg die tonnel?

Die kliënt kan 'n DNS-bediener ontvang wat net deur die VPN bereikbaar is, en daardie resolver werk net as sy adres self in 'n gemagtigde roete is. Verifieer beide helftes: die resolver-adres volg 'n gepubliseerde roete, en die bediener antwoord op die name wat die toepassing vra. 'n Versoek wat op adres slaag terwyl die gasheernaam misluk, wys na naamgewing, nie na roetering nie, en om die tonnel in daardie geval te ontfout mors die middag.

Publieke name moet oplos soos voor die verbinding, wat nog 'n rede is om presies te wees oor wat jy publiseer.

Verander die roetestel, dan verifieer beide wêrelde

AWS dokumenteer dat verandering van roetes op 'n verdeelde-tonnel-eindpunt kliëntverbindings herstel. Beplan die verandering met dit in gedagte: pas dit toe, herverbind deur die ondersteunde kliënt, en lees die geïnstalleerde roetes opnuut eerder as om staat te maak op toestand wat voor die wysiging toegepas is. Verouderde toegepaste toestand is die algemeenste rede waarom 'n korrekte verandering as stukkend lyk.

Aanvaar die ontwerp net wanneer een private hulpbron en een publieke bestemming albei werk soos bedoel, op naam en op adres, op die adresfamilies wat jy werklik ondersteun. 'n Tonnel wat verifieer is nie dieselfde as 'n tonnel wat korrek verdeel nie.

Skryf die roetelys in die runbook langs die redenasie, sodat die volgende persoon 'n opsetlike uitsluiting van 'n vergete een kan onderskei.