Jakou zdrojovou IP používá gateway NAT v AWS směrem k VPN?

Otevíráte konzoli VPC, protože se partner zeptal, jaký rozsah zdrojů dorazí přes VPN typu site-to-site. Stránka gateways NAT ukazuje veřejnou gateway s připojenou Elastic IP a pokušení je poslat tuto adresu a jít dál. Je to správná odpověď pro internetovou cestu a špatná odpověď pro cestu přes VPN, a rozdíl je v tom, na kterou gateway ukazuje směrovací tabulka. Projděte trasu, než napíšete seznam povolených.

Začněte na stránce gateways NAT, ne u seznamu povolených

Stránka gateways NAT vám řekne podsíť, typ a Elastic IP a tato tři pole stačí k začátku. Co vám neřekne, je cesta, kterou provoz potom jde. To plyne ze směrovacích tabulek připojených k podsíti gateway NAT.

Nejprve si přečtěte typ, protože veřejná nebo privátní rozhoduje o tom, zda se v řetězu později objeví internetová gateway. Potom si přečtěte podsíť, protože tam žije druhá trasa.

Sledujte oba překlady

Veřejné i privátní gateway NAT překládají privátní zdroj IPv4 úlohy na vlastní privátní adresu IPv4 gateway NAT. Tento první překlad proběhne bez ohledu na typ. Druhý překlad je ten, na který se zapomíná: veřejná gateway NAT předá provoz internetové gateway, která namapuje adresu na přiřazenou Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Na privátní cestě není v řetězu žádná internetová gateway. Když provoz vychází přes tranzitní gateway nebo virtuální privátní gateway, průvodce gateway NAT dokumentuje privátní adresu gateway NAT jako zdroj, který vzdálená strana obdrží. To je adresa, kterou má partner povolit, ne Elastic IP.

Cesta přes VPN obvykle ukazuje privátní adresu

Pro úlohu v 10.20.1.0/24, která dosahuje prefix partnera, směrovací tabulka podsítě úlohy ukazuje na gateway NAT a směrovací tabulka podsítě gateway NAT ukazuje na cestu privátní gateway. Oba skoky jsou důležité a jen druhý určuje, co partner vidí. Pokud podsíť NAT nemá žádnou trasu k cestě přes VPN, paket nikdy nedorazí, což je jiná porucha než špatná zdrojová adresa.

Ověřte tuto druhou trasu, než vůbec začnete mluvit o adresách. Chybějící trasa a špatně nahlášený zdroj vypadají pro partnera, který prostě nevidí provoz, úplně stejně.

Když druhý překlad změní odpověď

AWS nabízí také explicitní, odpovídající mapování NAT jedna k jedné na připojení tranzitní gateway. Toto mapování může zdroj znovu přeložit, než ho vzdálená služba uvidí, a není to výchozí chování, které jen směruje. Protože se musí nastavit záměrně, berte ho jako výjimku v návrhu, a ne jako něco, co zdědíte omylem. Pokud si nikdo ve vašem týmu nepamatuje, že ho zapnul, předpokládejte, že chybí, dokud připojení nepřečtete.

Pokud ho váš návrh používá, seznam povolených musí popisovat konečné mapování, ne adresu gateway NAT. Stejná opatrnost platí pro cesty dostupnosti: když se účastní několik adres gateway, očekávaná množina zdrojů je sjednocení, ne jedna reprezentativní adresa. Zapište, ke kterému překladu každá adresa patří, protože seznam bez původu nelze později auditovat.

Privátní gateway NAT nelze dát internetovou službu nasměrováním na internetovou gateway; AWS dokumentuje, že takový provoz se zahazuje. Vyberte typ z celé cesty, ne ze slova VPN v požadavku.

Napište smlouvu, podle které může partner jednat

Použitelná smlouva má čtyři části: směr, ze kterého se toky iniciují, přeloženou identitu, kterou partner uvidí, zpáteční trasu pro tuto identitu a rozsah ochrany, který platí. Toky gateway NAT se iniciují z podporované zdrojové strany, takže to není služba přesměrování příchozích portů pro vystavení privátní úlohy. Když to řeknete včas nahlas, zabráníte revizi návrhu, kde každá strana předpokládala, že iniciuje ta druhá.

Překlad kupuje úlevu od překryvu adres a předvídatelnou politiku zdrojů a stojí vás individuální identitu úlohy v partnerových protokolech. Pokud audit potřebuje přiřazení podle úlohy, udržujte tuto identitu v aplikační vrstvě, místo abyste se ji snažili obnovit z přeložené zdrojové adresy.

Potom po každé změně znovu zkontrolujte obě směrovací tabulky, protože nové připojení nebo znovu přidružená podsíť tiše přepíše odpověď.