EC2 ar draws parthau argaeledd: gwirio'r llwybro cyn VPN

Cyn gosod meddalwedd VPN rhwng dau achos EC2, atebwch un cwestiwn: a ydyn nhw yn yr un VPC? Os ydyn, mae'r llwybr preifat yn bodoli eisoes ac nid yw lleoli ar draws parthau yn newid hynny. Y rhan fwyaf o'r gwaith yn y sefyllfa hon yw cadarnhau pa dabl llwybro y mae pob is-rwydwaith yn ei ddefnyddio mewn gwirionedd, ac yna darganfod a oedd y methiant erioed yn broblem llwybro o gwbl. Yn aml, twmnel yw'r ateb anghywir i'r cwestiwn penodol hwn.

Gwiriad 1: yr un VPC neu VPCau gwahanol

Mae VPC yn rhanbarthol ac yn rhychwantu parthau argaeledd, tra bod pob is-rwydwaith yn perthyn i un parth yn union. Mae dau achos mewn parthau gwahanol o un VPC yn dal o fewn yr un parth llwybro preifat.

Nid yw VPCau gwahanol byth yn cael llwybr preifat am eu bod yn rhannu rhanbarth neu label parth. Mae angen cysylltiad â chymorth a gwaith llwybr a chaniatâd ar wahân ar y sefyllfa honno, sy'n benderfyniad arall.

Gwiriad 2: beth mae tablau llwybro'r is-rwydweithiau yn ei ddweud

Ysgrifennwch y cynllun gyda gwerthoedd go iawn. Mae VPC yn 10.60.0.0/16 gydag is-rwydweithiau 10.60.1.0/24 a 10.60.2.0/24 yn rhoi i'r achosion 10.60.1.10 a 10.60.2.20 lwybr drwy lwybr lleol y VPC.

Yna archwiliwch y tablau sy'n gysylltiedig â'r ddau is-rwydwaith, nid yn unig yr un wnaethoch ei chanfod gyntaf. Gall llwybr archwilio neu gyfarpar mwy penodol ddisodli'r llinell sylfaen, a gall targed y llwybr lleol ei hun gael ei ddisodli mewn cyfluniadau mwy newydd. Nid yw llwybr lleol sy'n weladwy rhywle yn y consol yn profi bod y ddau lwyth gwaith yn ei ddefnyddio.

Defnyddiwch y cyfeiriadau a'r enwau preifat y mae'r VPC yn eu neilltuo mewn gwirionedd. Nid oes rhaid i gyfeiriad preifat ddechrau gyda 10, a dychmygu un o'r cof yw sut y caiff amgylchedd sy'n gweithio ei ddiagnosio'n anghywir.

Gwiriad 3: llwybro neu awdurdodi

Mae llwybro yn unig yn mynd â'r pecyn i ryngwyneb rhwydwaith y targed. Mae angen i grŵp diogelwch y targed addef y ffynhonnell a'r gwasanaeth o hyd, rhaid i reolau all-lif y ffynhonnell ganiatáu'r cais, a rhaid i unrhyw ACL rhwydwaith ganiatáu'r ddwy ffordd oherwydd nid yw ACLau yn cadw cyflwr.

Y tu hwnt i hynny mae mur tân y gwesteiwr, rhwymiad y gwrandawr a hunaniaeth y cymhwysiad ei hun. Gall pob un ohonynt wrthod cais a ddanfonwyd yn berffaith gan lwybro.

Rhaid i'r derbyniad fod yn weithrediad cymhwysiad go iawn. Nid yw ping llwyddiannus yn rhoi mynediad i'r cymhwysiad nac yn profi bod enw TLS a hygrededd yn gywir, ac nid yw ping wedi'i rwystro yn profi bod pob gwasanaeth preifat i lawr.

Gwiriad 4: a oes angen cysylltiad ar wahân mewn gwirionedd

Gall VPN fod yn rhan o'r dyluniad o hyd, ond am reswm a nodir: cysylltu'r VPC hwn ag swyddfa, derbyn gliniaduron, neu fodloni gofyniad haen drosodd. Mae'r rheswm hwnnw'n wahanol i gyfathrebu arferol o fewn yr un VPC.

Cofiwch hefyd beth nad yw VPC. Nid yw'n estyniad o segment Ethernet cartref. Mae gan gymhwysiad sy'n dibynnu ar ddarganfod darlledu ofyniad ar wahân i'w werthuso. Mae hynny'n fwlch dylunio yn hytrach na nam llwybro.

Gwiriad 5: y cwestiwn amgryptio

Nid yw cyfeiriad preifat a rheol caniatáu yn dweud dim am amddiffyniad cryptograffig ar haen y cymhwysiad. Os oes angen amddiffyniad pen-i-ben ar y data, daw hynny o'r protocol a'r model hunaniaeth y mae'r gwasanaeth yn eu cefnogi mewn gwirionedd.

Cadwch honiadau haen rhwydwaith a haen cymhwysiad ar wahân yn y nodyn dylunio, oherwydd eu cyfuno yw sut mae adolygiad yn gorffen trwy honni amddiffyniad na weithredodd neb ef.

Beth i'w gofnodi

Cofnodwch ddau ID yr is-rwydwaith, y tabl llwybro sy'n gysylltiedig â phob un, cyfeiriadau'r grwpiau diogelwch a'r gweithrediad cymhwysiad a brofwyd gennych. Mae'r rheini'n bedwar ffaith, ac maent yn setlo'r rhan fwyaf o ddadleuon yn y dyfodol am y llwybr hwn.

Nid yw lleoli mewn parth ar ei ben ei hun byth yn dweud wrthych i ychwanegu VPN, ac nid yw byth yn esbonio pam y methodd cais preifat.