AWS Client VPN bölünmüş tunel: hansı marşrutları dərc etməlisiniz

Konsol bölünmüş tunel üçün açar təklif edir, ona görə qərar qeyd qutusu kimi görünür. Amma belə deyil. Müştəriyə faktiki çatan şey endpoint-in dərc edilmiş marşrut dəstidir və bu siyahı hansı şəxsi prefikslərin tuneldən istifadə etdiyini, ümumi internet trafikinin lokal qalıb-qalmadığını və ya AWS-dən çıxdığını və müştərinin hansı resolver ilə hələ də danışa bildiyini müəyyən edir. Dizaynı üç sual həll edir və hər birinə pis cavab vermək olar, halbuki bağlantı yenə də uğurlu olur.

Bölünmüş tunel bayrağı təyinat siyahısı deyil

AWS bölünmüş tuneli bağlantı qurularkən endpoint marşrutlarının müştərinin marşrut cədvəlinə əlavə edilməsi kimi sənədləşdirir. Şəxsi VPC üçün marşrut tuneli həmin təyinatla məhdudlaşdırır; qalan hər şey müştərinin adi yolunu izləyir. Default marşrut fərqli təsirə malik fərqli göstərişdir, buna görə də bölünmüş tunel sənədləşməsi bu rejim üçün konfiqurasiya edilmiş endpoint-də 0.0.0.0/0 dərc etməyə qarşı xəbərdarlıq edir: bu, bağlantını genişləndirmək əvəzinə adətən pozur. Endpoint marşrut cədvəli siyasətdir, müştəri marşrut cədvəli isə yoxlaya biləcəyiniz nəticədir.

Endpoint marşrut cədvəlini və müştəridə quraşdırılmış marşrutları birlikdə oxuyun. Etiket niyyəti təsvir edir; marşrutlar nə baş verdiyini təsvir edir.

Birinci qərar: ümumi internet trafiki lokal qalmalıdırmı?

Əgər gəzinti istifadəçinin öz bağlantısından istifadə etməlidirsə, yalnız işin ehtiyac duyduğu şəxsi təyinatları dərc edin və orada dayanın. Tam tunel dərsliyi birini daxil etdi deyə internet marşrutu əlavə etməyin və əlavə marşrutun təhlükəsizliyi yaxşılaşdırdığını güman etməyin. O, yolu dəyişir, siyasət əlavə etmir və adətən büdcədə nəzərdə tutmadığınız gecikməyə başa gəlir.

Əgər internet trafiki AWS-dən çıxmalıdırsa, sənədləşdirilmiş internet-çıxış arxitekturasını qurun: endpoint marşrutu, avtorizasiya qaydaları, əlaqəli subnetin yolu, təhlükəsizlik siyasəti və işlək yuxarı çıxış. Tək başına default marşrut bunların heç birini təmin etmir.

İkinci qərar: hansı şəxsi prefikslər, kimin icazəsi ilə?

Faktiki iş yükünə xidmət edən ən kiçik təyinat dəstini dərc edin və hər əlaqəli subnetin onlara marşrut verə bildiyini yoxlayın. Endpoint-in marşrut hədəfi və subnetin VPC marşrutlaşdırması fərqli təbəqələrdir və birində mövcud olan marşrut digəri haqqında sübut deyil. Avtorizasiya yenə ayrıdır: təyinat əlçatan ola bilər və yenə də rədd edilə bilər, çünki müştəri qrupunun ona icazə verən qaydası yoxdur.

Bir uğurlu sessiyanın sınaqdan keçirilməsi bir yolu sübut edir. Hər əlaqəli subneti yoxlayın, çünki sonradan əlavə edilmiş subnet əlaqəsi çatışmayan marşrutun adətən yerləşdiyi yerdir.

Təyinat ada görə əlçatan olmalıdırsa, nəzərə alın ki, növbəti məsələ ad həlli məsələsidir, marşrut məsələsi deyil.

Üçüncü qərar: hansı resolver tuneli izləyir?

Müştəri yalnız VPN vasitəsilə əlçatan olan DNS serveri ala bilər və bu resolver yalnız ünvanı özü avtorizasiya edilmiş marşrutun içində olduqda işləyir. Hər iki yarısını yoxlayın: resolver ünvanı dərc edilmiş marşrutu izləyir və server tətbiqin soruşduğu adlara cavab verir. Ünvana görə uğurlu olan, lakin host adı uğursuz olan sorğu adlandırmaya işarə edir, marşrutlaşdırmaya deyil və belə halda tuneli sazlamaq günortanı boşa verir.

Ümumi adlar bağlantıdan əvvəlki kimi həll olunmalıdır, bu da nə dərc etdiyiniz barədə dəqiq olmaq üçün başqa bir səbəbdir.

Marşrut dəstini dəyişin, sonra hər iki dünyanı yoxlayın

AWS sənədləşdirir ki, bölünmüş tunel endpoint-ində marşrutların dəyişdirilməsi müştəri bağlantılarını sıfırlayır. Dəyişikliyi bunu nəzərə alaraq planlaşdırın: tətbiq edin, dəstəklənən müştəri ilə yenidən qoşulun və redaktədən əvvəl tətbiq edilmiş vəziyyətə güvənmək əvəzinə quraşdırılmış marşrutları yenidən oxuyun. Köhnəlmiş tətbiq edilmiş vəziyyət düzgün dəyişikliyin pozulmuş görünməsinin ən çox yayılmış səbəbidir.

Dizaynı yalnız bir şəxsi resurs və bir ümumi təyinat hər ikisi nəzərdə tutulduğu kimi, ada və ünvana görə, həqiqətən dəstəklədiyiniz ünvan ailələrində davrandıqda qəbul edin. Autentifikasiya edən tunel düzgün bölünən tunellə eyni şey deyil.

Marşrut siyahısını əsaslandırmanın yanında runbook-a yazın ki, növbəti şəxs qəsdən edilmiş istisnanı unudulmuş istisnadan ayıra bilsin.