LAN y tu ôl i un sesiwn AWS Client VPN: beth sy’n cael ei anfon ymlaen

Mae’r gliniadur yn cysylltu ag endpoint AWS Client VPN, yn cyrraedd y is-rwydwaith breifat, ac mae popeth yn edrych yn iach. Ni all y gliniadur ar yr un LAN gyrraedd unrhyw beth, er bod gan y gwesteiwr Linux ryngwyneb pont hefyd a bod y ddwy beiriant ar yr un wifren. Nid oes unrhyw beth wedi’i gamgyflunio yn y twnnel; y darn sy’n eisiau yw llwybreiddio, ac mae’r bont yn gliw ffug.

Ymestyn sesiwn Client VPN i LAN yw rôl porth. Nid yw’n segment Ethernet wedi’i ymestyn i mewn i wasanaeth a reolir.

Mae’r gwesteiwr yn gweithio a’r LAN ddim

Mae gan ryngwyneb y twnnel ar y blwch Linux gyfeiriad o fewn CIDR cleient Client VPN, ac mae’r endpoint wedi gwthio llwybrau ar gyfer ystodau’r VPC. Mae cais a wneir ar y blwch hwnnw yn draffig a gynhyrchir yn lleol: mae’n dewis llwybr, yn gadael drwy’r twnnel, ac yn cael ateb. Nid yw’r llwybr hwnnw byth yn cyffwrdd â’r cod anfon ymlaen, rhyngwyneb y LAN, nac unrhyw reol wal dân sy’n llywodraethu tramwy.

Mae traffig o ddyfais LAN arall yn llif gwahanol. Mae’n cyrraedd rhyngwyneb y LAN, angen llwybr sy’n pwyntio i’r twnnel, angen anfon ymlaen wedi’i alluogi, angen wal dân sy’n ei ganiatáu, ac angen i’r ateb ddod yn ôl drwy’r un gwesteiwr. Pedair gofyniad, ac nid yw’r prawf gliniadur sy’n gweithio yn profi yr un ohonynt. O’r gliniadur mae’r methiant yn edrych yn rhyfedd: mae’r twnnel i fyny, mae’r manylion yn ddilys, ac nid yw’r gyrchfan byth yn ateb. Mae’r diffyg yn lleol i lwybr anfon ymlaen y borth, nid i’r gwasanaeth.

Nid yw pob cleient yn gallu bod yn borth

Mae AWS yn nodi nad yw ei ap gliniadur Client VPN yn cefnogi anfon IP ymlaen, ac y gall cleientiaid eraill. Mae’r cyfyngiad hwnnw’n penderfynu’r bensaernïaeth cyn i unrhyw orchymyn gael ei deipio. Os mai’r ap gliniadur swyddogol yw’r unig gleient sydd ar gael, nid yw porth Linux sy’n anfon ymlaen i’r LAN yn gyfluniad y gallwch ei orffen, ac ni fydd unrhyw faint o masquerading yn newid hynny.

Rhaid i’r cleient amnewid hefyd gyd-fynd â dull dilysu’r endpoint a’r polisi rydych yn bwriadu ei orfodi. Nid yw endpoints sy’n seiliedig ar dystysgrifau, cyfeirlyfr a SAML yn derbyn yr un cyfluniadau cleient, ac nid yw cleient trydydd parti sy’n dilysu ond yn anwybyddu’r llwybrau a wthiwyd yn welliant.

Triniwch y dewis cleient fel rhan o’r adolygiad dylunio. Mae’n pennu a yw’r patrwm anfon ymlaen LAN ar gael o gwbl, ac mae’n pennu pa hunaniaeth y mae’r endpoint yn ei gweld ar gyfer pob dyfais y tu ôl i’r borth. Cofnodwch y cleient a’r cyfluniad endpoint y cafodd ei brofi yn ei erbyn. Gall newid cleient chwe mis yn ddiweddarach ddileu’n dawel y gallu yr oedd y dyluniad yn ei dybio.

Cyfeiriwch y LAN at y twnnel a’i chyfieithu

Gyda chleient â chymorth yn ei le, gwaith porth cyffredin yw’r gweddill. Mae angen llwybr ar gyfer ystod y VPC sy’n pwyntio at y gwesteiwr Linux ar ddyfeisiau’r LAN, ac mae angen anfon ymlaen wedi’i alluogi ar y gwesteiwr. Os ydych am i’r VPC weld y traffig fel y cleient cysylltiedig yn hytrach nag fel cyfeiriad LAN mympwyol, cyfieithwch y ffynhonnell ar y ffordd allan.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Cyfyngwch y rheol i ryngwyneb y twnnel ac ystod y VPC, fel uchod, yn hytrach na masquerading popeth y mae’r gwesteiwr yn ei anfon ymlaen. Mae’r rheol gulach yn haws ei rhesymu, ac nid yw’n newid yn dawel draffig a oedd i fod i gadw ei gyfeiriad ffynhonnell gwreiddiol.

Gwnewch i lwybr y LAN ddod yn awtomatig os gallwch: opsiwn DHCP, hysbysiad llwybrydd, neu lwybr statig a wthir gan beth bynnag sy’n rheoli’r LAN. Bydd llwybr sydd ond yn bodoli ar un peiriant prawf yn gwneud i’r dyluniad edrych yn doredig y foment y bydd rhywun arall yn rhoi cynnig arno.

Mae angen llwybr ar yr ateb hefyd

Unwaith y bydd’r cais yn cyrraedd y VPC, rhaid i’r ateb ddod yn ôl drwy’r un cyflyrau cyfieithu a dod o hyd i lwybr y LAN ar y borth. Mae’r rhan honno fel arfer yn gweithio pan fydd y rheol masquerading yn ei le, oherwydd mae’r mapio’n byw ar y gwesteiwr a’i gwnaeth. Mae’n torri pan fydd gan ochr y VPC lwybr sy’n anfon yr ateb rywle arall, a dyna pam mae llwybr CIDR y cleient a chysylltiad is-rwydwaith yr endpoint ill dau yn bwysig.

Gwyliwch y cyfrifwyr, nid y ping yn unig. Mae rheol masquerading â sero pecyn yn dweud wrthych na chyrhaeddodd y cais ryngwyneb y twnnel erioed, sy’n pwyntio’n ôl at lwybr y LAN neu at dabl llwybreiddio’r cleient ei hun. Mae rheol â phecynnau ond heb atebion yn pwyntio at ochr y VPC, y rheolau awdurdodi, neu grŵp diogelwch nad yw’n derbyn y ffynhonnell gyfieithiedig. Darllenwch y ddau gyfeiriad cyn newid unrhyw beth, oherwydd cyfrif sy’n tyfu ar un ochr yn unig yw llwybr unffordd, nid un araf.

Cofiwch mai gwasanaeth a reolir yw’r endpoint. Nid oes ffeil gyfluniad gweinydd i’w golygu na chyfarwyddeb client-config i’w hychwanegu, felly nid yw cyfarwyddiadau a ysgrifennwyd ar gyfer gweinydd OpenVPN hunan-reoledig â llwybrau is-rwydwaith cleient addasedig yn trosglwyddo. Ar AWS y liferi yw cysylltiad is-rwydwaith, rheolau awdurdodi a thablau llwybreiddio’r VPC.

Hunaniaeth a rennir yw’r rhan y mae’n rhaid i bolisi ei hateb

Mae pob dyfais y tu ôl i’r borth yn defnyddio sesiwn VPN y borth. Mae rheolau awdurdodi’r endpoint yn rhoi mynediad i ddefnyddiwr neu grŵp, ac o safbwynt y gwasanaeth mae yna’n union un defnyddiwr ar y sesiwn honno. Nid yw anfon ymlaen lleol yn lluosi’r hunaniaeth honno i ddilysu fesul dyfais, ac nid yw’n ymestyn gwiriadau postur dyfais i’r argraffydd yn y gornel.

Gallai hynny fod yn dderbyniol, neu gallai fod y rheswm y gwrthodir y dyluniad. Mae’n dibynnu ar yr hyn y mae adnoddau’r VPC yn ei dybio am bwy sy’n galw. Mae hunaniaeth a rennir sy’n ffitio’r model awdurdodi yn iawn; un sy’n troi sesiwn ddilysedig sengl yn dawel yn fynediad ledled y LAN yw canfyddiad sy’n aros i gael ei ysgrifennu.

Os mai’r gofyniad mewn gwirionedd yw cysylltu safle cyfan â VPC, cymharwch ddyluniad safle-i-safle â chymorth cyn ymestyn cleient mynediad o bell. Mae’r semanteg yn wahanol, ac mae sesiwn cleient â NAT yn fath gwael ar gysylltiad safle pan fydd angen i’r VPC gychwyn cysylltiadau i’r LAN.

Penderfynwch y cleient, y llwybr, y cyfieithu a’r stori hunaniaeth yn y drefn honno. Mae pob un yn cyfyngu’r nesaf, ac mae’r drefn yn esbonio pam mae’r gwesteiwr yn gweithio tra nad yw’r LAN.