Twnel llawn Access Server ar EC2: pam nad yw un blwch ticio yn ddigon

Mae diffodd y gwiriad ffynhonnell a chyrchfan ar enghraifft EC2 yw’r ateb mwyaf ailadroddus i gwestiynau am allanfa rhyngrwyd Access Server, ac ar ei ben ei hun nid yw’n gwneud dim i’ch cleientiaid. Mae’r gwiriad yn gyfyngiad anfon yn AWS: mae’n gwneud i’r enghraifft dderbyn pecynnau nad yw eu ffynhonnell na’u cyrchfan yn gyfeiriad ynddo ei hun. Nid yw’n dweud wrth gleient Access Server am anfon traffig rhyngrwyd drwy’r twnel, nid yw’n creu llwybr i fyny’r afon ac nid yw’n ychwanegu NAT. Y myth yw mai’r blwch ticio yw’r nodwedd.

Beth mae’r gwiriad yn ei reoli mewn gwirionedd

Mae pob rhyngwyneb rhwydwaith EC2 yn gollwng traffig nad yw wedi’i anfon ato, oni bai bod yr enghraifft yn gweithredu fel llwybrydd, dyfais NAT neu borth VPN a’ch bod yn diffodd y gwiriad hwnnw. Mae’i ddiffodd yn rhoi caniatâd i anfon. Nid yw caniatâd yn ffurfweddiad: mae ar yr enghraifft o hyd angen llwybr i borth rhyngrwyd neu ddyfais NAT, mae ar dabl llwybrau’r VPC o hyd angen y cofnod cyfatebol, rhaid i grwpiau diogelwch o hyd ganiatáu’r llif, a rhaid i’r gweinydd o hyd gyfieithu neu lwybr’r traffig dychwelyd.

Gwiriwch y gwerth presennol gyda aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck cyn newid unrhyw beth. Os byddwch yn ei newid yn y consol, newidiwch ef oherwydd bod yr enghraifft yn anfon dros eraill, nid oherwydd nad yw cleient yn cyrraedd y rhyngrwyd.

Access Server sy’n berchen ar bolisi llwybro’r cleient

Yn Access Server 3, agorwch Access Controls a dod o hyd i’r adran Internet Access and DNS. Mae’r dewis Internet Gateway yn cynnig twnel llawn neu dwnel hollt; mae twnel llawn yn dweud wrth y cleient i lwybro ei draffig diofyn i mewn i’r VPN, mae twnel hollt yn gadael traffig rhyngrwyd ar lwybr lleol y cleient. Arbedwch a chymhwyswch drwy lif gwaith y cynnyrch, yna ailgysylltwch gleient prawf, oherwydd mae’r polisi’n cael ei ddanfon ar adeg y cysylltiad.

Mae rhyddhau h’n defnyddio bwydlenni gwahanol ac nid oes gan rai adeilediadau Community OpenVPN reolaeth gyfatebol. Gwiriwch y prif fersiwn sydd wedi’i osod cyn chwilio am sgrin nad yw’n bodoli. Yna cadarnhewch beth a gafodd y cleient: dylai proffil twnel llawn osod llwybr diofyn drwy’r twnel, ac na ddylai proffil twnel hollt wneud hynny.

Dilynwch y pecyn ar ôl y twnel

Unwaith y bydd y cleient yn anfon traffig rhyngrwyd i mewn i’r twnel, rhaid i’r gweinydd ei anfon ymlaen ac fel arfer ei gyfieithu. Mae Access Server yn rheoli ei reolau NAT a llwybro ei hun, felly darllenwch y ffurfweddiad effeithiol yn lle ychwanegu rheolau Community OpenVPN at ffeiliau a gynhyrchwyd; mae rheolau heb eu rheoli yn cael eu trosysgrifo neu’n gwrthdaro ar y diweddariad cynnyrch nesaf. Mae sudo iptables -t nat -L -n -v neu’r hyn sy’n cyfateb yn nftables yn dangos beth sy’n cael ei gyfieithu mewn gwirionedd.

Mae ochr AWS yn llwybr ar wahân. Mae enghraifft mewn is-rwydwaith cyhoeddus yn cyrraedd porth rhyngrwyd yn uniongyrchol ac yn cadw ei chyfeiriad cyhoeddus neu ei IP elastig. Mae enghraifft mewn is-rwydwaith preifat angen llwybr i borth NAT neu enghraifft NAT, ac mae ar y ddyfais NAT angen ei llwybr ei hun i’r porth rhyngrwyd. Nid yw atodi porth rhyngrwyd i’r VPC ar ei ben ei hun yn rhoi cyfeiriad dychwelyd cyhoeddus i unrhyw ffynhonnell breifat, a dyna pam mae’r un gosodiad Access Server yn gweithio mewn un is-rwydwaith ac yn methu’n dawel mewn un arall.

Gwiriwch y tabl llwybrau sy’n gysylltiedig ag is-rwydwaith yr enghraifft, nid prif dabl y VPC yn unig. Mae cymdeithasiadau is-rwydwaith yn trechu’r prif dabl, ac mae cymdeithasiad hen ffasiwn yn rheswm cyffredin dros i ffurfweddiad oedd yn gweithio stopio ar ôl ailadeiladu.

Cadwch allanfa IP a DNS ar wahân

Profwch lythyren gyfeiriad yn gyntaf, yna enw, o’r un rhaglen cleient. Os yw curl -4 https://checkip.amazonaws.com yn dychwelyd cyfeiriad cyhoeddus ond bod enwau gwesteiwyr yn methu, mae’r twnel a’r llwybr NAT yn gweithio a’r broblem yw DNS: y datryswr a wthiwyd, cyflwr datryswr y cleient, neu grŵp diogelwch sy’n rhwystro’r datryswr. Mae gosodiadau DNS Access Server yn yr un ardal Internet Access, ond maent yn teithio llwybr cod gwahanol.

Cymharwch y cyfeiriad a ddychwelwyd â’r allanfa y bwriadwyd hi. Os mai cyfeiriad cyhoeddus yr enghraifft yw ef, mae’r enghraifft yn cyfieithu’r traffig; os mai cyfeiriad porth NAT yw ef, defnyddir llwybr yr is-rwydwaith preifat. Gall y naill neu’r llall fod yn gywir. Yr hyn na allwch ei gasglu yw bod porwr ar y gweinydd yn profi anfon y cleient.

Peidiwch â gadael i un blwch ticio gau’r ymchwiliad

Mae IPv6 yn benderfyniad ar wahân. Nid yw polisi twnel llawn ar gyfer IPv4 yn dweud dim am ba un a yw IPv6 yn cael ei gario, ei rwystro neu’n gollwng, a gall cleient deu-stac barhau i ddefnyddio ei lwybr IPv6 lleol tra bo IPv4 yn y twnel. Profwch y teulu cyfeiriadau y gofalwch amdano mewn gwirionedd, a phenderfynwch yn benodol a ddylid analluogi’r llall.

Yn olaf, profwch y cyflwr datgysylltiedig. Mae dewis twnel llawn yn disgrifio polisi llwybro pan fyddwch wedi’ch cysylltu, nid beth sy’n digwydd pan fydd y twnel yn cwympo. Os mai’r gofyniad yw na ddylai unrhyw draffig ddianc y tu allan i’r VPN, cwestiwn kill-switch a mur tân yw hwnnw, ac mae angen ei brawf ei hun yn hytrach na chasgliad o’r tabl llwybrau.