Mynediad ysbeidiol drwy AWS Client VPN: archwiliwch bob is-rwydwaith cysylltiedig

Mae defnyddiwr yn cysylltu, yn agor yr ap mewnol ac yn cael ateb; mae cydweithiwr ar yr un pen terfyn yn cael amseriad allan o liniadur unfath ar yr un Wi-Fi. Arwydd o ben terfyn client VPN â mwy nag un is-rwydwaith cysylltiedig yw’r patrwm hwnnw, lle nad yw’r llwybrau’n gyfwerth. Rwy’n mynd trwy hyn o’r consol allan, oherwydd mae dwy tab yn penderfynu a yw gweddill yr ymchwiliad yn werth ei wneud. Nid oes unrhyw beth yng nghyfluniad y cleient yn egluro hyn.

Dechreuwch yn y pen terfyn a rhestru’r cysylltiadau

Yn y consol VPC, agorwch Client VPN endpoints, dewiswch y pen terfyn a darllenwch y tab Associations. Mae pob cysylltiad yn is-rwydwaith mewn parth argaeledd, ac mae cleient yn glanio ar yr un y mae’r gwasanaeth yn ei ddewis pan gaiff y cysylltiad ei adeiladu. Nodwch IDau’r is-rwydweithiau a’r tabl llwybrau y mae pob un yn ei ddefnyddio mewn gwirionedd, oherwydd y ddwy restr honno yw’r gymhariaeth rydych ar fin ei gwneud.

Os yw’r pen terfyn yn dangos un cysylltiad yn unig, mae’r ddamcaniaeth hon yn anghywir a’r cleient yw’r amheuwr gwell.

Cymharwch dabl llwybrau’r pen terfyn â phob cysylltiad

Agorwch y tab Route table ar yr un pen terfyn. Mae gan bob CIDR cyrchfan yno darged, ac ar gyfer client VPN cysylltiad yw’r targed yn hytrach na phorth. Mae AWS yn gofyn am gofnod cyrchfan ar gyfer pob is-rwydwaith cysylltiedig, felly mae llwybr sy’n targedu un yn unig ohonynt yn gwneud mynediad yn dibynnu ar ble y glaniodd y sesiwn. Gwiriwch y gyrchfan y mae gwir angen i chi ei gwybod, yna gwiriwch ei rheol awdurdodi, oherwydd mae llwybr yn darparu’r ffordd ac mae rheol yn penderfynu pwy gaiff ei defnyddio.

Unwaith y byddwch yn tablu’r ddwy haen, mae’n anodd colli’r methiant.

Yr ail res yw’r gwall cyfan yn y rhan fwyaf o docynnau. Mae llwybr y pen terfyn yn bresennol, felly nid oes neb yn edrych ymhellach, ac mae’r pecyn yn marw un naid yn ddiweddarach y tu mewn i’r VPC.

Dilynwch bob is-rwydwaith i’w dabl llwybrau effeithiol

Mae is-rwydwaith heb gysylltiad tabl llwybrau penodol yn etifeddu prif dabl y VPC. Darllenwch y tabl sydd mewn gwirionedd mewn grym, nid yr un y mae ei enw’n edrych yn iawn, a chymharwch gyrchfan a tharged yn hytrach na’r label ar y rhes.

Mae canllaw AWS ar fynediad ysbeidiol yn ei fframio fel sylw llwybrau ar draws cysylltiadau, sef y model cywir. Mae’r pen terfyn yn cludo’r pecyn i is-rwydwaith, ac mae’n rhaid i dabl yr is-rwydwaith hwnnw wybod o hyd ble mae rhwydwaith yr ap yn byw.

Trwsiwch y rhes goll yn y tabl sy’n berchen arni. Mae copïo tabl llwybrau cyfan o is-rwydwaith sy’n gweithio hefyd yn copïo dewisiadau rhyngrwyd, offer a chyfyngu na chawsant eu bwriadu ar gyfer yr un hon, ac mae’r cyfnewid hwnnw fel arfer yn waeth na’r methiant y gwnaethoch ddechrau ag ef.

Gwiriwch reolau awdurdodi, yna’r llwybr yn ôl

Mae rheolau awdurdodi ar gyfer pob cyrchfan ac ar gyfer pob grŵp, ac fe’u gwerthusir ar wahân i lwybrau. Mae cyrchfan â llwybrau ym mhob man ond heb reol ar gyfer grŵp y defnyddiwr yn ymddwyn fel twll du gyda thabl llwybrau sy’n edrych yn iach.

Mae’r llwybr dychwelyd yn haeddu’r un sylw. Mae cysylltiad peering angen llwybr yn VPC yr ap yn pwyntio’n ôl at CIDR y cleient, rheolau grŵp diogelwch sy’n caniatáu’r traffig ar y ddau ben, ac ACLau rhwydwaith nad ydynt yn ei ollwng. Mae cyrhaeddiad un ffordd, lle mae ping yn gweithio ac nid yw’r handshake TCP yn gweithio, fel arfer yn pwyntio at ACL neu grŵp diogelwch yn hytrach na’r VPN.

Mae grwpiau diogelwch y pen terfyn ei hun yn eistedd ar ryngwynebau rhwydwaith elastig y cysylltiad, felly mae’n rhaid atodi rheol sy’n caniatáu porth yr ap o CIDR y cleient i’r cysylltiad, nid i’r achos yn unig.

Gwiriwch ag ailgysylltiad, nid un cais lwcus

Gyda thwnnel hollt, caiff llwybrau’r pen terfyn eu gwthio pan sefydlir y cysylltiad, felly nid yw set llwybrau newidiedig byth yn cyrraedd cleient sy’n aros yn gysylltiedig. Datgysylltwch ac ailgysylltwch drwy’r cleient a gefnogir, yna cadarnhewch fod y llwybrau newydd yn bresennol ar y peiriant.

Yn olaf, cysylltwch y log cysylltiadau â’r cyfeiriad a gafodd y cleient, ac ailadroddwch y prawf ddigon o weithiau i daro mwy nag un cysylltiad. Mae un cais llwyddiannus ar ôl cywiriad yn profi bod un llwybr yn gweithio, ac roedd y tocyn yn ymwneud â’r llall.