AWS Client VPN neu fastion i gyrraedd VPC cymar

Gall un pwynt terfyn Client VPN gyrraedd VPC sydd mewn peering a'i VPC cysylltiedig, ac nid oes angen fastion arnoch i wneud hynny'n gyfreithlon. Y dewis sy'n werth ei wneud yw ble mae'r traffig yn newid dwylo: llwybr pwynt terfyn sy'n glanio yn yr is-rwydwaith cysylltu ac yn croesi'r cysylltiad peering, neu westeiwr yn y VPC cymar sy'n diweddu'r sesiwn. Mae'r ddau lwybr yn gweithio ac yn methu mewn gwahanol leoedd, felly mae'r penderfyniad yn ymwneud a pherchnogaeth ac archwiliad, nid a'r hyn y mae AWS yn ei ganiatáu. Dyma sut rwy'n dewis rhyngddynt, a'r pedwar cofnod sy'n gwneud y llwybr llwybredig yn llwyddiannus.

Dau lwybr, un pwynt terfyn, gwahanol berchnogion

Ar y llwybr llwybredig, mae traffig y cleient yn cyrraedd y pwynt terfyn, yn cael ei gyfieithu i gyfeiriad rhyngwyneb rhwydwaith Client VPN yn yr is-rwydwaith cysylltu, ac yn gadael yr is-rwydwaith honno dros y cysylltiad peering o A i B. Nid yw VPC B yn diweddu unrhyw sesiwn VPN; mae'n gweld traffig cyffredin o VPC A, a dyna pam mae ei lwybr dychwelyd yn pwyntio at VPC A, nid at y pwll cleientiaid.

Ar lwybr y fastion, mae'r cleient yn cyrraedd gwesteiwr yn gyntaf. Mae bastion yn A yn gadael i'r naid olaf groesi'r cysylltiad peering o hyd, felly rydych yn cadw'r gwaith peering ac yn ychwanegu sesiwn. Mae bastion yn B hefyd angen llwybr o'r cleient, a phan fo'r llwybr hwnnw yr un llwybr pwynt terfyn, rydych yn cael y dyluniad llwybredig ynghyd a naid. Dim ond pan fo'n bodoli eisoes, eisoes wedi'i gymeradwyo, ac mae'r peth y tu ol iddo angen ffin sesiwn yn hytrach na ffin rhwydwaith, y mae'r bastion yn tynnu gwaith.

Pedwar cofnod yn gwneud y llwybr llwybredig yn llwyddiannus

Mae AWS yn dogfennu'r senario hwn ar dudalen Client VPN how-it-works, ac yn ymarferol mae'n dod i lawr i bedwar cofnod sy'n eiddo i ddau neu dri thîm. Mae'r ystodau'n ddarluniadol; rhaid i'r ystod cymar fod yn unigryw a rhaid i'r ystod dychwelyd gyd-fynd a'ch cynllun.

Mae llwybr a chaniatad yn rheolyddion ar wahan. Nid yw llwybr pwynt terfyn cywir heb reol awdurdodi cyfatebol yn rhoi dim i'r cleient; mae rheol awdurdodi ar gyfer cyrchfan na all y pwynt terfyn ei llwybro yn rhoi twll du iddo. Rhaid i'r ddau enwi'r un ystod.

Mae llwybr y pwynt terfyn yn pwyntio at is-rwydwaith yn VPC y pwynt terfyn ei hun, byth at y cysylltiad peering. Mae tablau llwybr VPC yn pwyntio at y cysylltiad peering, byth at enghraifft nac at ryngwyneb. Mae copio gwerth rhwng y ddau yn cael ei gadw heb gwyn ac yn llwybro dim.

Gan fod yr is-rwydwaith cysylltu yn cyfieithu ffynhonnell y cleient, rhaid i B lwybro'n ol i VPC A, nid i'r pwll cleientiaid. Mae anfon ystod y cleient dros y cysylltiad peering yn edrych yn gymesur, yn pasio adolygiad, ac yn methu'n dawel oherwydd nad yw B byth yn gweld pecyn a ffynhonnell cleient.

Grwpiau diogelwch a'r metr olaf o ganiatad

Mae llwybro'n cael pecynnau i B; mae B yn dal i benderfynu. Ar gyfer cysylltiad peering gweithredol yn yr un rhanbarth, gall grwp diogelwch yn B gyfeirio at y grwp a gymhwysir i gysylltiad Client VPN, sy'n cadw'r rheol yn gul ac yn goroesi newidiadau cyfeiriad. Lle nad yw cyfeiriad grwp yn ymarferol, caniathewch ystod yr is-rwydwaith cysylltu'n benodol yn lle ehangu i 0.0.0.0/0, sy'n troi camgymeriad llwybro yn amser aros heb esboniad.

Yna gwiriwch yr hyn nad yw llwybro byth yn ei gyffwrdd: ACLau rhwydwaith ar y ddwy is-rwydwaith, rhestr ganiatáu'r cymhwysiad neu gynulleidfa'r tocyn, a DNS. Nid yw peering yn copio parthau a gynhelir yn breifat, felly gall y gliniadur ddal llwybr gweithredol i gyfeiriad na all ei ddatrys, ac nid yw cysylltiad peering yn ychwanegu dim ymddiriedaeth at dystysgrif. Pwyntiwch y pwynt terfyn at ddatryswr sy'n ateb ar gyfer B, yna cadarnhewch fod yr enw preifat a'r dystysgrif yn cyfateb.

Pryd mae'r bastion yn ateb onest

Rwy'n cadw tri sbardun ar gyfer dewis bastion yn fwriadol. Mae'r VPC cymar yn perthyn i dîm na fydd yn ychwanegu llwybr dychwelyd ar gyfer eich ystod neu na fydd yn derbyn cyfeiriad grwp. Rhaid i fynediad gael ei gymeradwyo neu ei gofnodi fesul sesiwn ac ni all y cymhwysiad ei gario ei hun. Neu rhaid i'r naid olaf aros y tu mewn i B oherwydd dim ond yno y mae'r gwasanaeth yn datrys ac mae ei hunaniaeth TLS wedi'i phinio i enw mewnol.

Nid oes unrhyw un o'r rhain yn osgoi'r ffaith nad yw peering yn drawsnewidiol. Mae annhrawsnewidioldeb yn cyfyngu ar yr hyn y caiff adnoddau yn B ei wneud: ni allant ddefnyddio A fel tramwy i drydydd VPC y mae A mewn peering ag ef. Nid oedd erioed yn golygu na all defnyddiwr VPN gyrraedd VPC cymar yn uniongyrchol, ac mae bastion a adeiladwyd i osgoi'r camddarllen hwnnw yn westeiwr i'w glytio heb reswm.

Mae'r camgymeriad gwrthdro yn costio mwy dros amser: gwthiwch bob tîm trwy'r un bastion sy'n bodoli eisoes, yna darganfyddwch mai ei grwp diogelwch, ei dabell llwybr a'i ffenestr glytio yw'r ddibyniaeth gynhyrchu. Ysgrifennwch pa sbardun y mae'r gwesteiwr yn ei wasanaethu, a'i roi i orffwys pan fydd y sbardun yn mynd.

Mae Transit Gateway a sawl cysylltiad yn newid y rhifyddeg

Os yw'r pwynt terfyn wedi'i gysylltu'n uniongyrchol a Transit Gateway yn hytrach nag ag is-rwydwaith, mae'r model yn newid: nid yw cleientiaid bellach yn cael eu cyfieithu i gyfeiriad rhyngwyneb mewn is-rwydwaith cysylltu, a rhaid i dabllau llwybr y giât gario ystod y cleient ynghyd a'r cysylltiad sy'n arwain at y VPC cymar. Mae hynny'n lanach ar raddfa, ond mae'r gwaith yn symud o bedwar cofnod i dabllau llwybr y giât.

Mae sawl cysylltiad yn lluosi'r gwiriadau. Mae llwybr y pwynt terfyn yn eiddo i'r pwynt terfyn, ond mae angen tabell llwybr a naid nesaf peering go iawn ar bob is-rwydwaith cysylltu. Gall sesiwn lwyddo trwy un cysylltiad tra nad oes gan y llall lwybr dychwelyd, felly profwch bob un.

Trefn dilysu sy'n dod o hyd i'r toriad yn gyflym

Rhedwch y rhain yn eu trefn; gall pob cam basio tra bod y nesaf yn methu, ac mae amser aros cleient bron byth yn dweud pa un a dorrodd.

1. Datryswch enw'r cymhwysiad o'r cleient a gwiriwch fod y cyfeiriad o fewn yr ystod cymar.
2. Cysylltwch, yna darllenwch log cysylltiadau'r pwynt terfyn ar gyfer y cysylltiad a ddiweddodd y sesiwn.
3. Ar yr is-rwydwaith cysylltu honno, cadarnhewch fod y dabell llwybr yn pwyntio'r ystod cymar at gysylltiad peering gweithredol.
4. Ar is-rwydwaith adnoddau B, cadarnhewch gofnod dychwelyd ar gyfer ystod y rhyngwyneb a rheolau grwp cyfatebol.
5. Profwch un gweithrediad a ganiateir ac un adnodd sy'n rhaid aros yn anghyraeddadwy; mae'r ail yn dal gweddillion dadfygio.
6. Ailgysylltwch ar ol unrhyw newid i lwybr split-tunnel, oherwydd ni fydd tiwnel sy'n rhedeg yn codi set llwybrau newydd.

Mae dau symptom yn werth eu cofio. SYN sy'n cyrraedd B heb ateb bron bob amser yw'r llwybr dychwelyd coll. Mae cysylltiad sy'n cwblhau ac yna'n ailosod fel arfer yn y grwp, yr ACL neu'r cymhwysiad. Nid oes yr un yn ymddangos yng nghofnod y pwynt terfyn fel achos, felly cadwch y pedwar cofnod gyda pherchennog wrth bob un.

Os nad yw'r un o'r tri sbardun yn dal, gorffennwch y llwybr llwybredig a chofnodwch y pedwar cofnod hynny. Os yw un yn dal, cadwch y bastion ar gyfer y ffin honno'n unig a gadewch lwybr y pwynt terfyn ar gyfer gwasanaethau nad oes angen sesiwn o'u blaen.