Koji izvorni IP koristi AWS NAT gateway prema VPN-u?

Otvarate VPC konzolu jer je partner pitao koji će izvorni raspon stići preko VPN-a od lokacije do lokacije. Stranica NAT gatewaya prikazuje javni gateway s pridruženim Elastic IP-om, a iskušenje je poslati tu adresu i nastaviti dalje. To je točan odgovor za internetsku putanju i pogrešan za VPN putanju, a razlika je na koji gateway pokazuje tablica ruta. Prođite rutu prije nego što napišete popis dopuštenih.

Počnite na stranici NAT gatewaya, a ne na popisu dopuštenih

Stranica NAT gatewaya govori vam podmrežu, tip i Elastic IP, i ta tri polja dovoljna su za početak. Ono što ne govori jest putanja koju promet zatim slijedi. To dolazi iz tablica ruta pridruženih podmreži NAT gatewaya.

Prvo pročitajte tip, jer javni ili privatni određuje hoće li se kasnije u lancu pojaviti internetski gateway. Zatim pročitajte podmrežu, jer se tu nalazi druga ruta.

Slijedite obje pretvorbe

I javni i privatni NAT gatewayi prevode privatni IPv4 izvor radnog opterećenja u vlastitu privatnu IPv4 adresu NAT gatewaya. Ta prva pretvorba događa se bez obzira na tip. Druga pretvorba je ona koju ljudi zaboravljaju: javni NAT gateway predaje promet internetskom gatewayu, koji mapira adresu na pridruženi Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Na privatnoj putanji u lancu nema internetskog gatewaya. Kad promet izlazi kroz tranzitni gateway ili virtualni privatni gateway, vodič za NAT gatewaye dokumentira privatnu adresu NAT gatewaya kao izvor koji prima udaljena strana. Upravo tu adresu partner treba dopustiti, a ne Elastic IP.

VPN putanja obično pokazuje privatnu adresu

Za radno opterećenje u 10.20.1.0/24 koje doseže partnerov prefiks, tablica ruta podmreže radnog opterećenja pokazuje na NAT gateway, a tablica ruta podmreže NAT gatewaya na putanju privatnog gatewaya. Oba skoka su važna, i samo drugi određuje što partner vidi. Ako podmreža NAT nema rutu do VPN putanje, paket nikada ne stiže, i to je druga vrsta kvara od pogrešne izvorne adrese.

Provjerite tu drugu rutu prije nego što uopće govorite o adresama. Ruta koja nedostaje i pogrešno prijavljen izvor izgledaju identično partneru koji jednostavno ne vidi promet.

Kad druga pretvorba promijeni odgovor

AWS nudi i izričito, odgovarajuće mapiranje NAT jedan na jedan na privitku tranzitnog gatewaya. To mapiranje može još jednom prevesti izvor prije nego što ga udaljena usluga vidi, i to nije zadano ponašanje koje samo usmjerava. Budući da se mora namjerno konfigurirati, tretirajte ga kao projektnu iznimku, a ne kao nešto što slučajno naslijedite. Ako se nitko u vašem timu ne sjeća da ga je uključio, pretpostavite da ga nema dok ne pročitate privitak.

Ako ga vaš dizajn koristi, popis dopuštenih mora opisivati konačno mapiranje, a ne adresu NAT gatewaya. Ista se pažnja odnosi na putanje dostupnosti: kad sudjeluje više adresa gatewaya, očekivani skup izvora je unija, a ne jedna reprezentativna adresa. Zapišite kojoj pretvorbi pripada svaka adresa, jer popis bez podrijetla nije moguće kasnije revidirati.

Privatnom NAT gatewayu ne može se dati internetska usluga usmjeravanjem na internetski gateway; AWS dokumentira da se takav promet odbacuje. Odaberite tip prema cijeloj putanji, a ne prema riječi VPN u zahtjevu.

Napišite ugovor prema kojem vaš partner može djelovati

Upotrebljiv ugovor ima četiri dijela: smjer iz kojeg se tokovi pokreću, prevedeni identitet koji će partner vidjeti, povratnu rutu za taj identitet i primjenjivi opseg zaštite. Tokovi NAT gatewaya pokreću se s podržane izvorne strane, pa to nije usluga prosljeđivanja ulaznih portova za izlaganje privatnog radnog opterećenja. Reći to naglas rano sprječava pregled dizajna u kojem je svaka strana pretpostavljala da je pokrenula druga.

Pretvorba kupuje olakšanje od preklapanja adresa i predvidljivu politiku izvora, a košta vas pojedinačnim identitetom radnog opterećenja u zapisima partnera. Ako revizija treba pridruživanje po radnom opterećenju, držite taj identitet u aplikacijskom sloju umjesto da ga pokušavate vratiti iz prevedene izvorne adrese.

Zatim ponovno provjerite obje tablice ruta nakon svake promjene, jer novo pridruživanje ili ponovno povezana podmreža tiho prepisuje odgovor.