AWS Client VPN twnnel hollt: pa lwybrau i'w cyhoeddi

Mae'r consol yn cynnig tog twnnel hollt, felly mae'r penderfyniad yn teimlo fel blwch ticio. Nid yw. Yr hyn sy'n cyrraedd y cleient mewn gwirionedd yw set llwybrau cyhoeddedig y pen terfyn, ac mae'r rhestr honno'n penderfynu pa ragddodiadau preifat sy'n defnyddio'r twnnel, a yw traffig rhyngrwyd cyffredinol yn aros yn lleol neu'n gadael drwy AWS, a pha ddatryswr y gall y cleient siarad ag ef o hyd. Mae tri chwestiwn yn setlo'r cynllun, a gellir ateb pob un yn wael tra bod y cysylltiad yn dal i lwyddo.

Nid yw baner twnnel hollt yn rhestr gyrchfannau

Mae AWS yn disgrifio twnelu hollt fel ychwanegu llwybrau'r pen terfyn at dabl llwybrau'r cleient wrth sefydlu'r cysylltiad. Mae llwybr ar gyfer y VPC preifat yn cyfyngu'r twnnel i'r gyrchfan honno; mae popeth arall yn dilyn llwybr arferol y cleient. Mae llwybr diofyn yn gyfarwyddyd gwahanol ag effaith wahanol, a dyna pam mae'r dogfennaeth twnnel hollt yn rhybuddio yn erbyn cyhoeddi 0.0.0.0/0 ar ben terfyn sydd wedi'i ffurfweddu ar gyfer y modd hwn: mae'n tueddu i dorri cysylltedd yn hytrach na'i estyn. Tabl llwybrau'r pen terfyn yw'r polisi, a thabl llwybrau'r cleient yw'r canlyniad y gallwch ei archwilio.

Darllenwch dabl llwybrau'r pen terfyn a llwybrau gosodedig y cleient gyda'i gilydd. Mae'r label yn disgrifio bwriad; mae'r llwybrau yn disgrifio beth sy'n digwydd.

Penderfyniad un: a ddylai traffig rhyngrwyd cyffredinol aros yn lleol?

Os yw pori i ddefnyddio cysylltiad y defnyddiwr ei hun, cyhoeddwch yn unig y cyrchfannau preifat y mae'r gwaith eu hangen a stopiwch yno. Peidiwch ag ychwanegu llwybr rhyngrwyd oherwydd bod tiwtorial twnnel llawn wedi cynnwys un, a pheidiwch â chymryd yn ganiataol bod y llwybr ychwanegol yn gwella diogelwch. Mae'n newid y llwybr, nid yw'n ychwanegu polisi, ac mae fel arfer yn costio hwyrni na wnaethoch ei gyllidebu.

Os yw traffig rhyngrwyd i adael drwy AWS, adeiladwch y bensaernïaeth mynediad rhyngrwyd a ddogfennwyd: llwybr y pen terfyn, rheolau awdurdodi, llwybr yr isrwyd ffurf gysylltiedig, polisi diogelwch, ac allbwn i fyny sy'n gweithio. Nid yw llwybr diofyn ar ei ben ei hun yn darparu'r un o'r rheini.

Penderfyniad dau: pa ragddodiadau preifat, wedi'u hawdurdodi gan bwy?

Cyhoeddwch y set leiaf o gyrchfannau sy'n gwasanaethu'r llwyth gwaith gwirioneddol, a gwiriwch y gall pob isrwyd ffurf gysylltiedig lwybro atynt. Mae targed llwybr y pen terfyn a llwybro VPC yr isrwyd ffurf yn haenau gwahanol, ac nid yw llwybr sy'n bodoli yn un yn dystiolaeth am y llall. Mae awdurdodi ar wahân eto: gall cyrchfan fod yn gyrraeddadwy ac eto'n cael ei gwrthod oherwydd nad oes gan grŵp y cleient reol sy'n ei chaniatáu.

Mae profi un sesiwn lwyddiannus yn profi un llwybr. Gwiriwch bob isrwyd ffurf gysylltiedig, oherwydd cysylltiad isrwyd ffurf a ychwanegwyd yn ddiweddarach yw'r union fan lle mae'r llwybr coll yn tueddu i fod.

Pan fo'n rhaid i gyrchfan fod yn gyrraeddadwy wrth ei henw, nodwch mai'r cwestiwn datrys enwau sydd nesaf, nid cwestiwn y llwybr.

Penderfyniad tri: pa ddatryswr sy'n dilyn y twnnel?

Gall cleient dderbyn gweinydd DNS nad yw ond yn gyrraeddadwy drwy'r VPN, ac nid yw'r datryswr hwnnw'n gweithio oni bai bod ei gyfeiriad ei hun y tu mewn i lwybr awdurdodedig. Gwiriwch y ddwy hanner: mae cyfeiriad y datryswr yn dilyn llwybr cyhoeddedig, ac mae'r gweinydd yn ateb yr enwau y mae'r cymhwysiad yn gofyn amdanynt. Mae cais sy'n llwyddo drwy gyfeiriad tra bod enw'r gwesteiwr yn methu yn awgrymu enwi, nid llwybro, ac mae dadfygio'r twnnel yn yr achos hwnnw'n gwastraffu'r prynhawn.

Dylai enwau cyhoeddus ddatrys fel y gwnaethant cyn y cysylltiad, sy'n rheswm arall dros fod yn fanwl gywir ynghylch yr hyn rydych yn ei gyhoeddi.

Newidiwch y set llwybrau, yna gwiriwch y ddau fyd

Mae AWS yn nodi bod newid llwybrau ar ben terfyn twnnel hollt yn ailosod cysylltiadau cleientiaid. Cynlluniwch y newid gyda hynny mewn golwg: ei gymhwyso, ailgysylltu drwy'r cleient a gefnogir, a darllen y llwybrau gosodedig o'r newydd yn hytrach na dibynnu ar gyflwr a gymhwyswyd cyn y golygiad. Cyflwr cymhwysedig hen ffasiwn yw'r rheswm mwyaf cyffredin pam mae newid cywir yn edrych yn doredig.

Derbyniwch y cynllun dim ond pan fydd un adnodd preifat ac un gyrchfan gyhoeddus ill dau yn ymddwyn fel y bwriadwyd, wrth enw ac wrth gyfeiriad, ar y teuluoedd cyfeiriadau rydych yn eu cefnogi mewn gwirionedd. Nid yw twnnel sy'n dilysu yr un peth â thwnnel sy'n hollti'n gywir.

Ysgrifennwch y rhestr llwybrau yn y runbook wrth ymyl y rhesymeg, fel y gall y person nesaf wahaniaethu rhwng eithriad bwriadol ac un wedi'i anghofio.