EC2 əlçatanlıq zonaları üzrə: VPN-dan əvvəl marşrutlaşdırmanı yoxlayın

İki EC2 instansı arasında VPN proqramı quraşdırmadan əvvəl bir suala cavab verin: onlar eyni VPC-dədirlər? Əgər belədirsə, özəl yol artıq mövcuddur və zonalar arası yerləşdirmə bunu dəyişmir. Bu vəziyyətdə işin çoxu hər alt şəbəkənin həqiqətən hansı marşrut cədvəlini istifadə etdiyini təsdiqləmək, sonra isə nasazlığın ümumiyyətlə marşrutlaşdırma problemi olub-olmadığını öyrənməkdir. Tunel bu konkret suala adətən yanlış cavabdır.

Yoxlama 1: eyni VPC, yoxsa fərqli VPC-lər

VPC regionaldır və Əlçatanlıq Zonalarını əhatə edir, hər alt şəbəkə isə dəqiq bir zonaya aiddir. Bir VPC-nin fərqli zonalarındakı iki instans yenə də eyni özəl marşrutlaşdırma domeninin içindədir.

Fərqli VPC-lər heç vaxt yalnız regionu və ya zona etiketini paylaşdıqları üçün özəl marşrut qazanmır. Belə hal dəstəklənən bağlantı və ayrıca marşrut və icazə işi tələb edir ki, bu da ayrı bir qərardır.

Yoxlama 2: alt şəbəkə marşrut cədvəlləri nə deyir

Sxemi real dəyərlərlə yazın. VPC 10.60.0.0/16 ünvanı, 10.60.1.0/24 və 10.60.2.0/24 alt şəbəkələri ilə, 10.60.1.10 və 10.60.2.20 instanslarına VPC-nin lokal marşrutu vasitəsilə yol verir.

Sonra ilk tapdığınız cədvəli deyil, hər iki alt şəbəkə ilə əlaqəli cədvəlləri yoxlayın. Daha konkret bir yoxlama və ya cihaz marşrutu baza marşrutunu üstələyə bilər, lokal marşrutun hədəfi isə yeni konfiqurasiyalarda özü də dəyişdirilə bilər. Konsolda hansısa yerdə görünən lokal marşrut hər iki iş yükünün onu istifadə etdiyini sübut etmir.

VPC-nin həqiqətən təyin etdiyi özəl ünvanlardan və adlardan istifadə edin. Özəl ünvanın 10 ilə başlaması mütləq deyil və yaddaşdan bir ünvan uydurmaq işlək mühitin səhv diaqnoz qoyulmasına gətirib çıxarır.

Yoxlama 3: marşrutlaşdırma, yoxsa avtorizasiya

Marşrutlaşdırma paketi yalnız hədəfin şəbəkə interfeysinə çatdırır. Hədəfin təhlükəsizlik qrupu hələ də mənbəni və xidməti qəbul etməlidir, mənbənin çıxış qaydaları sorğuya icazə verməlidir və hər hansı şəbəkə ACL-i hər iki istiqamətə icazə verməlidir, çünki ACL-lər vəziyyətsizdir.

Bundan sonra qonaq firewall, dinləyicinin bağlanması və tətbiqin öz kimliyi gəlir. Hər biri marşrutlaşdırmanın mükəmməl çatdırdığı sorğunu rədd edə bilər.

Qəbul real tətbiq əməliyyatı olmalıdır. Uğurlu ping tətbiqə giriş vermir və TLS adının və etimad məlumatlarının düzgün olduğunu sübut etmir, bloklanmış ping isə bütün özəl xidmətlərin işləmədiyini təsdiqləmir.

Yoxlama 4: ayrı bağlantı həqiqətən tələb olunurmu

VPN hələ də dizaynda yer ala bilər, amma göstərilən səbəblə: bu VPC-ni ofisə bağlamaq, noutbukları qəbul etmək və ya overlay tələbini ödəmək. Bu səbəb adi eyni VPC daxilindəki ünsiyyətdən fərqlidir.

VPC-nin nə olmadığını da xatırlayın. O, ev Ethernet seqmentinin uzantısı deyil. Yayım kəşfiyyatından asılı olan tətbiqin qiymətləndirilməli ayrı tələbi var. Bu, marşrutlaşdırma xətası deyil, dizayn boşluğudur.

Yoxlama 5: şifrələmə sualı

Özəl ünvan və icazə qaydası tətbiq qatında kriptoqrafik qoruma haqqında heç nə demir. Əgər məlumatlar ucdan-uca qoruma tələb edirsə, bu, xidmətin həqiqətən dəstəklədiyi protokoldan və kimlik modelindən gəlir.

Dizayn qeydində şəbəkə qatı və tətbiq qatı iddialarını ayrı saxlayın, çünki onları birləşdirmək heç kimin tətbiq etmədiyi qorumanı təsdiqləyən rəylə nəticələnir.

Nə qeyd etmək lazımdır

Hər iki alt şəbəkə identifikatorunu, hər biri ilə əlaqəli marşrut cədvəlini, təhlükəsizlik qrupu istinadlarını və sınaqdan keçirdiyiniz tətbiq əməliyyatını qeyd edin. Bunlar dörd faktdır və bu yol barədə gələcək mübahisələrin çoxunu həll edir.

Təkcə zona yerləşdirməsi heç vaxt sizə VPN əlavə etməyi demir və özəl sorğunun niyə uğursuz olduğunu heç vaxt izah etmir.