EC2 üzərində Access Server tam tuneli: bir onay qutusu niyə kifayət etmir

EC2 instansiyasında mənbə və təyinat yoxlamasını söndürmək Access Server-in internet çıxışı ilə bağlı suallara ən çox təkrarlanan cavabdır və tək başına müştəriləriniz üçün heç nə etmir. Yoxlama AWS-in yönləndirmə məhdudiyyətidir: instansiyanın mənbəyi və ya təyinatı öz ünvanı olmayan paketləri qəbul etməsinə imkan verir. O, Access Server müştərisinə internet trafikini tuneldən keçirməyi tapşırmır, yuxarı istiqamətdə marşrut yaratmır və NAT əlavə etmir. Mif ondan ibarətdir ki, onay qutusu özü funksiyadır.

Yoxlama əslində nəyə nəzarət edir

Hər EC2 şəbəkə interfeysi özünə ünvanlanmayan trafiki atır, istisna olaraq instansiya marşrutlaşdırıcı, NAT cihazı və ya VPN şlüzü kimi çıxış edirsə və siz həmin yoxlamanı söndürmüsünüzsə. Onu söndürmək yönləndirməyə icazə verir. İcazə konfiqurasiya deyil: instansiyaya hələ də internet şlüzünə və ya NAT cihazına marşrut lazımdır, VPC marşrut cədvəlində hələ də uyğun qeyd lazımdır, təhlükəsizlik qrupları hələ də axına icazə verməlidir və server hələ də qayıdış trafikini tərcümə etməli və ya marşrutlaşdırmalıdır.

Hər hansı dəyişiklik etməzdən əvvəl cari dəyəri aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck ilə yoxlayın. Konsolda dəyişsəniz, bunu instansiya başqaları üçün yönləndirdiyi üçün edin, müştəri internetə çıxa bilmədiyi üçün deyil.

Müştəri marşrutlaşdırma siyasəti Access Server-ə aiddir

Access Server 3-də Access Controls bölməsini açın və Internet Access and DNS hissəsini tapın. Internet Gateway seçimi tam tunel və ya bölünmüş tunel təklif edir; tam tunel müştəriyə standart trafikini VPN-in içinə yönləndirməyi tapşırır, bölünmüş tunel internet trafikini müştərinin yerli yolunda saxlayır. Məhsulun iş axını ilə yadda saxlayın və tətbiq edin, sonra sınaq müştərisini yenidən qoşun, çünki siyasət qoşulma anında çatdırılır.

Köhnə buraxılışlar fərqli menyulardan istifadə edir və bəzi Community OpenVPN qurğularında ekvivalent idarəetmə yoxdur. Mövcud olmayan ekranı axtarmazdan əvvəl quraşdırılmış əsas versiyanı yoxlayın. Sonra müştərinin nə aldığını təsdiqləyin: tam tunel profili tuneldən standart marşrut quraşdırmalıdır, bölünmüş tunel profili isə bunu etməməlidir.

Tuneldən sonra paketi izləyin

Müştəri internet trafikini tunelə göndərdikdən sonra server onu yönləndirməli və adətən tərcümə etməlidir. Access Server öz NAT və marşrutlaşdırma qaydalarını idarə edir, ona görə yaradılmış fayllara Community OpenVPN qaydaları əlavə etmək əvəzinə faktiki konfiqurasiyanı oxuyun; idarə olunmayan qaydalar növbəti məhsul yeniləməsində üzərinə yazılır və ya toqquşur. sudo iptables -t nat -L -n -v və ya nftables ekvivalenti əslində nəyin tərcümə olunduğunu göstərir.

AWS tərəfi ayrı yoldur. İctimai alt şəbəkədəki instansiya internet şlüzünə birbaşa çıxır və ictimai ünvanını və ya elastik IP-ni saxlayır. Şəxsi alt şəbəkədəki instansiyaya NAT şlüzünə və ya NAT instansiyasına marşrut lazımdır, NAT cihazına isə öz internet şlüzünə marşrut lazımdır. İnternet şlüzünü VPC-yə qoşmaq özlüyündə heç bir şəxsi mənbəyə ictimai qayıdış ünvanı vermir, buna görə eyni Access Server quraşdırması bir alt şəbəkədə işləyir, digərində isə səssizcə uğursuz olur.

İnstansiyanın alt şəbəkəsi ilə əlaqəli marşrut cədvəlini yoxlayın, yalnız VPC-nin əsas cədvəlini deyil. Alt şəbəkə assosiasiyaları əsas cədvəli üstələyir və köhnəlmiş assosiasiya işlək konfiqurasiyanın yenidənqurmadan sonra dayanmasının geniş yayılmış səbəbidir.

IP çıxışını və DNS-i ayrı saxlayın

Əvvəlcə ünvan literalını, sonra adı eyni müştəri tətbiqindən sınaqdan keçirin. curl -4 https://checkip.amazonaws.com ictimai ünvan qaytarır, lakin host adları uğursuz olursa, tunel və NAT yolu işləyir və problem DNS-dədir: ötürülən həlledici, müştərinin həlledici vəziyyəti və ya həlledicini bloklayan təhlükəsizlik qrupu. Access Server-in DNS parametrləri eyni Internet Access sahəsindədir, lakin fərqli kod yolu ilə gedir.

Qaytarılan ünvanı nəzərdə tutduğunuz çıxışla müqayisə edin. Əgər bu instansiyanın ictimai ünvanıdırsa, trafik instansiya tərəfindən tərcümə olunur; əgər NAT şlüzünün ünvanıdırsa, şəxsi alt şəbəkə yolu istifadə olunur. Hər ikisi doğru ola bilər. Çıxara bilməyəcəyiniz nəticə serverdəki brauzerin müştəri yönləndirməsini sübut etməsidir.

Bir onay qutusunun araşdırmanı bağlamasına imkan verməyin

IPv6 ayrı qərardır. IPv4 üçün tam tunel siyasəti IPv6-nın daşınması, bloklanması və ya sızması barədə heç nə demir və ikiqat yığımlı müştəri IPv4 tuneldə ikən yerli IPv6 yolunu işlətməyə davam edə bilər. Həqiqətən vacib olan ünvan ailəsini sınaqdan keçirin və digərinin söndürülməli olub-olmadığını açıq şəkildə qərarlaşdırın.

Nəhayət, əlaqəsiz vəziyyəti sınaqdan keçirin. Tam tunel seçimi qoşulmuş vəziyyətdə marşrutlaşdırma siyasətini təsvir edir, tunel düşəndə nə baş verdiyini yox. Tələb VPN-dən kənara heç bir trafikin çıxmamasıdırsa, bu kill-switch və firewall məsələsidir və marşrut cədvəlindən çıxarış deyil, öz sınağını tələb edir.