EC2 عبر مناطق التوفر: تحقق من التوجيه قبل استخدام VPN

قبل تثبيت برمجيات VPN بين نسختي EC2، أجب عن سؤال واحد: هل هما في VPC نفسها؟ إن كانتا كذلك، فإن المسار الخاص موجود بالفعل، ولا يغيّر التوزيع عبر المناطق ذلك. معظم العمل في هذه الحالة هو التأكد من جدول التوجيه الذي تستخدمه كل شبكة فرعية فعليًا، ثم معرفة ما إذا كان العطل مشكلة توجيه أصلًا. النفق عادةً إجابة خاطئة عن هذا السؤال تحديدًا.

الفحص 1: نفس VPC أم VPCs مختلفة

الـ VPC إقليمية وتمتد عبر مناطق التوفر، بينما تنتمي كل شبكة فرعية إلى منطقة واحدة فقط. النسختان في منطقتين مختلفتين من VPC واحدة تظلان داخل نطاق التوجيه الخاص نفسه.

لا تحصل VPCs المختلفة أبدًا على مسار خاص لمجرد أنها تشترك في إقليم أو في اسم منطقة. تلك الحالة تحتاج إلى اتصال مدعوم وإلى عمل خاص بالمسار والأذونات، وهو قرار منفصل.

الفحص 2: ما تقوله جداول توجيه الشبكات الفرعية

اكتب التصميم بقيم حقيقية. فـ VPC عند 10.60.0.0/16 مع شبكتين فرعيتين 10.60.1.0/24 و 10.60.2.0/24 تمنح النسختين 10.60.1.10 و 10.60.2.20 مسارًا عبر المسار المحلي للـ VPC.

ثم افحص الجدولين المرتبطين بالشبكتين الفرعيتين، لا الجدول الذي وجدته أولًا فقط. قد يتجاوز مسار فحص أو جهاز أكثر تحديدًا المسار الأساسي، وقد يُستبدل هدف المسار المحلي نفسه في إعدادات أحدث. رؤية مسار محلي في مكان ما داخل وحدة التحكم لا تثبت أن كلا الحملين يستخدمه.

استخدم العناوين والأسماء الخاصة التي تمنحها VPC فعليًا. ليس مطلوبًا أن يبدأ العنوان الخاص بالرقم 10، واختلاق عنوان من الذاكرة هو الطريقة التي تُشخَّص بها بيئة عاملة بشكل خاطئ.

الفحص 3: التوجيه أم التصريح

التوجيه يوصل الحزمة فقط إلى واجهة الشبكة الخاصة بالهدف. لا تزال مجموعة الأمان الخاصة بالهدف بحاجة إلى قبول المصدر والخدمة، ويجب أن تسمح قواعد الخروج الخاصة بالمصدر بالطلب، ويجب أن تسمح أي قائمة ACL شبكية بالاتجاهين لأن قوائم ACL عديمة الحالة.

وراء ذلك تأتي جدار الحماية الخاص بالضيف، وربط المستمع، وهوية التطبيق نفسه. كل منها يستطيع رفض طلب أوصله التوجيه على أكمل وجه.

يجب أن يكون القبول هو عملية التطبيق الحقيقية. لا يمنح نجاح ping وصولًا إلى التطبيق ولا يثبت أن اسم TLS وبيانات الاعتماد صحيحة، كما أن حجب ping لا يثبت أن كل خدمة خاصة معطلة.

الفحص 4: هل يلزم اتصال منفصل فعلًا

قد يبقى VPN ضمن التصميم، لكن لسبب معلن: ربط هذه VPC بمكتب، أو قبول أجهزة محمولة، أو تلبية متطلب طبقة تراكب. وهذا السبب يختلف عن الاتصال العادي داخل VPC نفسها.

تذكّر أيضًا ما ليست عليه VPC. إنها ليست امتدادًا لقطاع إيثرنت منزلي. التطبيق الذي يعتمد على اكتشاف البث له متطلب منفصل يجب تقييمه. هذه فجوة تصميم لا عطل توجيه.

الفحص 5: مسألة التشفير

العنوان الخاص وقاعدة السماح لا يقولان شيئًا عن الحماية التشفيرية في طبقة التطبيق. إذا كانت البيانات تحتاج حماية من الطرف إلى الطرف، فهذا يأتي من البروتوكول ونموذج الهوية الذي تدعمه الخدمة فعليًا.

أبقِ ادعاءات طبقة الشبكة وطبقة التطبيق منفصلة في مذكرة التصميم، لأن دمجهما هو ما ينتهي بمراجعة تؤكد حماية لم ينفذها أحد.

ما ينبغي تسجيله

سجّل معرّفي الشبكتين الفرعيتين، وجدول التوجيه المرتبط بكل منهما، ومراجع مجموعات الأمان، وعملية التطبيق التي اختبرتها. هذه أربع حقائق، وهي تحسم معظم الخلافات المستقبلية حول هذا المسار.

وحده وضع المنطقة لا يخبرك أبدًا بإضافة VPN، ولا يفسر أبدًا سبب فشل طلب خاص.