Quina IP d’origen fa servir una gateway NAT d’AWS cap a una VPN?

Obriu la consola de VPC perquè un soci ha preguntat quin rang d’origen arribarà per la VPN de lloc a lloc. La pàgina de gateways NAT mostra una gateway pública amb una Elastic IP associada, i la temptació és enviar aquesta adreça i passar endavant. És la resposta correcta per al camí d’internet i la resposta equivocada per al camí de la VPN, i la diferència és a quina gateway apunta la taula de rutes. Recorreu la ruta abans d’escriure la llista d’adreces permeses.

Comenceu per la pàgina de gateways NAT, no per la llista d’adreces permeses

La pàgina de gateways NAT us diu la subxarxa, el tipus i l’Elastic IP, i aquests tres camps són prou per començar. El que no us diu és el camí que segueix el trànsit després. Això ve de les taules de rutes associades a la subxarxa de la gateway NAT.

Llegiu primer el tipus, perquè públic o privat decideix si més endavant apareixerà una gateway d’internet a la cadena. Després llegiu la subxarxa, perquè és on viu la segona ruta.

Seguiu les dues traduccions

Tant les gateways NAT públiques com les privades tradueixen l’origen IPv4 privat de la càrrega de treball a l’adreça IPv4 privada pròpia de la gateway NAT. Aquesta primera traducció passa independentment del tipus. La segona traducció és la que la gent oblida: una gateway NAT pública lliura el trànsit a la gateway d’internet, que assigna l’adreça a l’Elastic IP associada.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Pel camí privat no hi ha cap gateway d’internet a la cadena. Quan el trànsit surt per una gateway de trànsit o una gateway privada virtual, la guia de gateways NAT documenta l’adreça privada de la gateway NAT com a origen que rep el costat remot. Aquesta és l’adreça que el soci ha de permetre, no l’Elastic IP.

El camí de la VPN normalment mostra l’adreça privada

Per a una càrrega de treball a 10.20.1.0/24 que arriba a un prefix del soci, la taula de rutes de la subxarxa de la càrrega apunta a la gateway NAT, i la taula de rutes de la subxarxa de la gateway NAT apunta al camí de la gateway privada. Tots dos salts importen, i només el segon decideix què veu el soci. Si la subxarxa NAT no té cap ruta cap al camí de la VPN, el paquet no arriba mai, i això és una fallada diferent d’una adreça d’origen equivocada.

Verifiqueu aquesta segona ruta abans de parlar d’adreces. Una ruta absent i un origen informat malament semblen idèntics a un soci que simplement no veu trànsit.

Quan una segona traducció canvia la resposta

AWS també ofereix una assignació NAT explícita i corresponent u a u sobre una associació de gateway de trànsit. Aquesta assignació pot traduir l’origen una altra vegada abans que el servei remot la vegi, i no és el comportament per defecte que només encamina. Com que s’ha de configurar expressament, tracteu-la com una excepció de disseny i no com una cosa que hereteu per accident. Si ningú de l’equip no recorda haver-la activat, assumiu que no hi és fins que hàgiu llegit l’associació.

Si el vostre disseny la fa servir, la llista d’adreces permeses ha de descriure l’assignació final i no l’adreça de la gateway NAT. La mateixa precaució val per als camins de disponibilitat: quan hi participen diverses adreces de gateway, el conjunt d’orígens esperat és la unió, no una adreça representativa. Anoteu a quina traducció pertany cada adreça, perquè una llista sense procedència és impossible d’auditar més tard.

Una gateway NAT privada no pot rebre servei d’internet apuntant-la a una gateway d’internet; AWS documenta que aquest trànsit es descarta. Trieu el tipus a partir del camí complet, no de la paraula VPN del requisit.

Escriviu el contracte sobre el qual el soci pot actuar

El contracte utilitzable té quatre parts: la direcció en què s’inicien els fluxos, la identitat traduïda que veurà el soci, la ruta de tornada per a aquesta identitat i l’abast de protecció que s’aplica. Els fluxos de la gateway NAT s’inicien des del costat d’origen admès, així que no és un servei de reenviament de ports d’entrada per exposar una càrrega de treball privada. Dir-ho en veu alta aviat evita una revisió de disseny en què cada costat assumia que l’altre iniciava.

La traducció compra alleujament pel solapament d’adreces i una política d’origen predictible, i us costa la identitat individual de la càrrega de treball als registres del soci. Si l’auditoria necessita atribució per càrrega de treball, manteniu aquesta identitat a la capa d’aplicació en lloc de recuperar-la d’una adreça d’origen traduïda.

Després torneu a comprovar les dues taules de rutes després de qualsevol canvi, perquè una associació nova o una subxarxa reassociada reescriu la resposta en silenci.