Plný tunel Access Serveru na EC2: proč jeden zaškrtávací rámeček nestačí

Vypnutí kontroly zdroje a cíle na instanci EC2 je nejčastěji opakovaná odpověď na otázky o internetovém výstupu Access Serveru a samo o sobě pro vaše klienty nedělá nic. Kontrola je omezení přesměrování v AWS: nutí instanci přijímat pakety, jejichž zdroj nebo cíl není její vlastní adresa. Neříká klientovi Access Serveru, aby posílal internetový provoz tunelem, nevytváří cestu směrem nahoru a nepřidává NAT. Mýtus je, že tím prvkem je právě zaškrtávací políčko.

Co kontrola ve skutečnosti řídí

Každé síťové rozhraní EC2 zahazuje provoz, který není adresován jemu, pokud instance nevystupuje jako router, zařízení NAT nebo VPN brána a vy tuto kontrolu nevypnete. Vypnutím získáte povolení předávat. Povolení není konfigurace: instance stále potřebuje cestu k internetové bráně nebo zařízení NAT, směrovací tabulka VPC stále potřebuje odpovídající záznam, bezpečnostní skupiny stále musí tok povolit a server stále musí zpětný provoz přeložit nebo směrovat.

Ověřte aktuální hodnotu pomocí aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck, než cokoli změníte. Pokud ji změníte v konzoli, změňte ji proto, že instance předává za jiné, ne proto, že se klient nedostane na internet.

Politiku směrování klienta vlastní Access Server

V Access Serveru 3 otevřete Access Controls a najděte sekci Internet Access and DNS. Volba Internet Gateway nabízí plný nebo rozdělený tunel; plný tunel říká klientovi, aby svůj výchozí provoz směroval do VPN, rozdělený tunel nechává internetový provoz na místní cestě klienta. Uložte a aplikujte přes pracovní postup produktu, poté znovu připojte testovacího klienta, protože politika se doručuje v okamžiku připojení.

Starší vydání používají jiné nabídky a některá sestavení Community OpenVPN nemají ekvivalentní ovládání. Ověřte nainstalovanou hlavní verzi, než budete hledat obrazovku, která neexistuje. Potom potvrďte, co klient dostal: profil plného tunelu má nainstalovat výchozí cestu tunelem, profil rozděleného tunelu to nemá dělat.

Sledujte paket po tunelu

Jakmile klient pošle internetový provoz do tunelu, server jej musí předat a obvykle přeložit. Access Server spravuje vlastní pravidla NAT a směrování, proto čtěte skutečnou konfiguraci, místo abyste do generovaných souborů přidávali pravidla Community OpenVPN; nespravovaná pravidla se při další aktualizaci produktu přepíší nebo se dostanou do konfliktu. sudo iptables -t nat -L -n -v nebo ekvivalent pro nftables ukazuje, co se skutečně překládá.

Strana AWS je samostatná cesta. Instance ve veřejné podsíti dosáhne internetové brány přímo a zachová si veřejnou adresu nebo elastickou IP. Instance v soukromé podsíti potřebuje cestu k bráně NAT nebo instanci NAT a zařízení NAT potřebuje vlastní cestu k internetové bráně. Připojení internetové brány k VPC samo o sobě nedá žádnému soukromému zdroji veřejnou zpětnou adresu, a proto stejné nastavení Access Serveru funguje v jedné podsíti a v jiné tiše selže.

Zkontrolujte směrovací tabulku přiřazenou k podsíti instance, ne jen hlavní tabulku VPC. Přiřazení podsítí přebíjejí hlavní tabulku a zastaralé přiřazení je častou příčinou, proč funkční konfigurace po přestavbě přestane fungovat.

Držte IP výstup a DNS oddělené

Otestujte nejprve adresní literál, potom jméno, ze stejné klientské aplikace. Pokud curl -4 https://checkip.amazonaws.com vrátí veřejnou adresu, ale názvy hostitelů selhávají, tunel i cesta NAT fungují a problém je v DNS: odeslaný resolver, stav resolveru na klientovi nebo bezpečnostní skupina, která resolver blokuje. Nastavení DNS Access Serveru je ve stejné oblasti Internet Access, ale jde jinou cestou kódu.

Porovnejte vrácenou adresu s výstupem, který jste zamýšleli. Je-li to veřejná adresa instance, provoz překládá instance; je-li to adresa brány NAT, používá se cesta soukromé podsítě. Obojí může být správně. Co však nemůžete uzavřít, je tvrzení, že prohlížeč na serveru prokazuje předávání pro klienta.

Nenechte jeden rámeček uzavřít vyšetřování

IPv6 je samostatné rozhodnutí. Politika plného tunelu pro IPv4 neříká nic o tom, zda se IPv6 přenáší, blokuje nebo uniká, a klient s duálním zásobníkem může dál používat svou místní cestu IPv6, zatímco IPv4 jde tunelem. Otestujte rodinu adres, na které vám skutečně záleží, a výslovně rozhodněte, zda má být druhá vypnuta.

Nakonec otestujte odpojený stav. Volba plného tunelu popisuje politiku směrování při připojení, ne to, co se stane, když tunel spadne. Pokud je požadavkem, aby žádný provoz neunikl mimo VPN, jde o otázku kill-switch a firewallu a ta potřebuje vlastní test, ne odvození ze směrovací tabulky.