EC2 Elastic IP instansın şəxsi VPN ünvanı deyil

İnstansın şəxsi ünvanı var, Elastic IP ona assosiasiya olunub və həmin publik /32 üçün marşrut VPN-ə əlavə olunur ki, guya ikisi eyni şey olacaq. Olmurlar. Elastic IP qonağın xaricində, internet şlüzü tərəfindən, internet yolunu tutan trafik üzərində icra olunan tərcümədir. Qonağın əməliyyat sistemi həmin ünvanı heç vaxt hansısa interfeysdə konfiqurasiya olunmuş görmür. Onu tunel interfeysinə əlavə etmək yuxarı axındakı tərcüməni təkrar istehsal etmir və eyni maşın üçün ikinci, ziddiyyətli kimlik yaradır.

İki ünvan, bir instans

İnstansın şəbəkə interfeysi VPC daxilində şəxsi ünvan saxlayır və bu, qonağın bildiyi ünvandır. Elastic IP həmin interfeysə assosiasiya olunub, lakin xəritələmənin publik tərəfində yaşayır.

İnstansa internetdən çatan hər şey şəxsi ünvana tərcümə olunmuş halda gəlir. İnstansın internetə göndərdiyi hər şey isə mənbə kimi Elastic IP ilə çıxır, yenə də həmin tərcüməyə görə.

Qonağın daxilində bir ünvan var. Xaricində iki. Bu asimmetriya bu sahədəki çaşqınlığın çoxunu izah edir. Qonaq şlüzün nəyi tərcümə etdiyini konfiqurasiya edə bilməz. O, yalnız həqiqətən saxladığı ünvanda cavab verə bilər.

İnternet şlüzü əslində nə edir

AWS-in internet şlüzü sənədləri bu quruluşu təsvir edir: instans öz şəxsi IPv4 ünvanından xəbərdardır və şlüz internet yolundakı trafik üçün uyğun publik IPv4 və ya Elastic IP tərcüməsini təmin edir.

Bu, şəbəkə ünvanı tərcüməsidir, alias deyil. Xəritələmə şlüz tərəfindən saxlanılır, assosiasiyaya bağlıdır və yalnız ondan keçən paketlərə tətbiq olunur. Assosiasiyanı götürsəniz, publik kimlik qonağın heç nə hiss etmədən yox olur.

Buna görə də publik /32 ünvanına göndərilən şəxsi VPN paketi qonağın lokal ünvanına gedən şəxsi paket kimi yenidən şərh olunmur. Paket uyğun gəldiyi marşrutu izləyir, bu da onu internet şlüzünə göndərir, şlüzün davranışı isə yolun hər iki istiqamətdə icazəli olmasından asılıdır.

Tunel interfeysi hiyləsi niyə uğursuz olur

Elastic IP-ni tunel interfeysinə təyin etmək qonaqdan publik ünvana lokal kimi yanaşmasını tələb edir. Artıq iki şey eyni ünvana iddia edir: internet yolundakı şlüz tərcüməsi və tunel daxilindəki lokal interfeys. Qayıdış trafikinin hansının tətbiq olunduğuna dair ardıcıl cavabı yoxdur.

Hətta işləyirmiş kimi görünəndə də dizayn əsl sualı gizlətmiş olur. Müştərilər ya tunel vasitəsilə şəxsi ünvana, ya da internet vasitəsilə publik son nöqtəyə çatır və iki yolun fərqli təhlükəsizlik qrupları, fərqli jurnallaşdırma və fərqli nasazlıq rejimləri var.

Problem heç vaxt ünvan deyildi. Yol seçimi idi.

Üç məqsəd, üç dizayn

Məqsəd publik VPN son nöqtəsidirsə, Elastic IP düzgün alətdir: uzaq həmkarlar ona internet üzərindən qoşulur və şifrələnmiş nəqliyyat instansda sona çatır. Daxili tətbiq trafiki sonra şəxsi ünvandan istifadə edir.

Məqsəd tətbiqə şəxsi çıxışdırsa, təyinat şəxsi ünvan və ya ona həll olunan şəxsi DNS adıdır və VPN marşrutu, təhlükəsizlik qrupu və qayıdış yolu hamısı razılaşmalıdır. Elastic IP o dizaynda ümumiyyətlə görünmür.

Məqsəd VPN istifadəçiləri üçün sabit publik çıxış kimliyidirsə, bu, çıxış tərəfində NAT dizaynıdır, müştərinin tunelindəki ünvan deyil. Oxşar səslənən üç məqsəd üç fərqli diaqram doğurur və yalnız biri Elastic IP-nin yeni bir yerə qoyulmasını nəzərdə tutur.

Seçdiyiniz yolu yoxlayın

Şəxsi çıxış üçün VPN marşrutunun şəxsi prefiksi əhatə etdiyini, VPC marşrut cədvəlinin trafiki tunelə qaytardığını, təhlükəsizlik qrupunun müştəri mənbəyinə icazə verdiyini və müştərinin öz firewall-unun cavaba icazə verdiyini təsdiqləyin. Sonra ping deyil, bir real sorğu sınaqdan keçirin.

Publik çıxış üçün müştərinin internet çıxışını, publik girişin marşrutlaşdırmasını və təhlükəsizlik siyasətini təsdiqləyin. VPN müştərisinin tunel vasitəsilə publik son nöqtəyə çata bilməsi tunelin çıxış və firewall qaydalarından asılıdır, Elastic IP assosiasiyasından deyil.

Publik host adı hər iki tərəfdən işləməlidirsə, VPN müştəriləri üçün şəxsi ünvanla, qalan hamı üçün publik ünvanla cavab verən DNS dizaynı istifadə edin və sertifikatı ünvana deyil, ada görə etibarlı saxlayın. İş qaydası: məqsədi adlandırın, ona aid ünvanı seçin, sonra marşrutları, siyasəti və bir sorğunu yoxlayın.