Nid yw Elastic IP EC2 yn gyfeiriad VPN preifat yr enghraifft

Mae gan yr enghraifft gyfeiriad preifat, mae'r Elastic IP yn gysylltiedig ag ef, ac mae llwybr ar gyfer y /32 cyhoeddus hwnnw'n cael ei ychwanegu at y VPN gan obeithio y bydd y ddau yn dod yr un peth. Nid ydynt. Cyfieithiad a wneir y tu allan i'r gwesteiwr yw Elastic IP, gan y porth internet, ar draffig sy'n dilyn y llwybr rhyngrwyd. Nid yw system weithredu'r gwesteiwr byth yn gweld y cyfeiriad hwnnw wedi'i ffurfweddu ar ryngwyneb. Mae ei ychwanegu at ryngwyneb tiwnel yn ailgynhyrchu'r cyfieithiad uwch yn y cysylltiad ac yn creu hunaniaeth ail, gwrthgyferbyniol ar gyfer yr un peiriant.

Dau gyfeiriad, un enghraifft

Mae rhyngwyneb rhwydwaith yr enghraifft yn dal cyfeiriad preifat y tu mewn i'r VPC, a dyna'r cyfeiriad y mae'r gwesteiwr yn ei adnabod. Mae'r Elastic IP yn gysylltiedig â'r un rhyngwyneb ond yn byw ar ochr gyhoeddus y mapio.

Mae unrhyw beth sy'n cyrraedd yr enghraifft drwy'r rhyngrwyd yn cyrraedd wedi'i gyfieithu i'r cyfeiriad preifat. Mae unrhyw beth y mae'r enghraifft yn ei anfon i'r rhyngrwyd yn gadael gyda'r Elastic IP fel ei ffynhonnell, unwaith eto oherwydd y cyfieithiad hwnnw.

Y tu mewn i'r gwesteiwr, mae un cyfeiriad yn bodoli. Y tu allan, mae dau. Mae'r anghymesuredd hwnnw'n esbonio'r rhan fwyaf o'r dryswch yn y maes hwn. Ni all y gwesteiwr ffurfweddu'r hyn y mae'r porth yn ei gyfieithu. Dim ond ar y cyfeiriad y mae'n ei ddal y gall ateb.

Beth mae'r porth internet yn ei wneud mewn gwirionedd

Mae dogfennaeth AWS ar y porth internet yn disgrifio'r trefniant: mae'r enghraifft yn ymwybodol o'i chyfeiriad IPv4 preifat, ac mae'r porth yn darparu'r cyfieithiad IPv4 cyhoeddus neu Elastic IP cyfatebol ar gyfer traffig ar y llwybr rhyngrwyd.

Cyfieithu cyfeiriadau rhwydwaith yw hwn, nid alias. Mae'r porth yn cynnal y mapio, wedi'i rwymo i'r cysylltiad, ac mae'n berthnasol yn unig i becynnau sy'n ei groesi. Tynnwch y cysylltiad ac mae'r hunaniaeth gyhoeddus yn diflannu heb i'r gwesteiwr sylwi ar unrhyw beth.

Dyma pam nad yw pecyn VPN preifat wedi'i gyfeirio at y /32 cyhoeddus yn cael ei ail-ddehongli fel pecyn preifat i gyfeiriad lleol y gwesteiwr. Mae'r pecyn yn dilyn y llwybr y mae'n cyd-fynd ag ef, sy'n ei anfon i'r porth internet, ac mae ymddygiad y porth yn dibynnu ar a yw'r llwybr yn cael ei ganiatáu yn y ddau gyfeiriad.

Pam mae tric rhyngwyneb y tiwnel yn methu

Mae aseinio'r Elastic IP i ryngwyneb tiwnel yn gofyn i'r gwesteiwr drin cyfeiriad cyhoeddus fel un lleol. Nawr mae dau beth yn hawlio'r un cyfeiriad: cyfieithiad y porth ar y llwybr rhyngrwyd a'r rhyngwyneb lleol y tu mewn i'r tiwnel. Nid oes gan draffig dychwelyd ateb cyson ynglŷn â pha un sy'n berthnasol.

Hyd yn oed pan mae'n ymddangos ei fod yn gweithio, mae'r dyluniad wedi cuddio'r cwestiwn go iawn. Mae cleientiaid naill ai'n cyrraedd y cyfeiriad preifat drwy'r tiwnel neu'n cyrraedd y pen cyhoeddus drwy'r rhyngrwyd, ac mae gan y ddau lwybr grwpiau diogelwch gwahanol, cofnodi gwahanol a dulliau methu gwahanol.

Nid y cyfeiriad oedd y broblem erioed. Y dewis llwybr oedd.

Tri nod, tri dyluniad

Os mai'r nod yw pen VPN cyhoeddus, yr Elastic IP yw'r offeryn cywir: mae partneriaid o bell yn cysylltu ag ef dros y rhyngrwyd ac mae'r cludiant wedi'i amgryptio yn gorffen ar yr enghraifft. Yna mae traffig mewnol y cymhwysiad yn defnyddio'r cyfeiriad preifat.

Os mai'r nod yw mynediad preifat at y cymhwysiad, y cyrchfan yw'r cyfeiriad preifat neu enw DNS preifat sy'n datrys iddo, a rhaid i lwybr y VPN, y grŵp diogelwch a'r llwybr dychwelyd gyd-fynd. Nid yw'r Elastic IP yn ymddangos yn y dyluniad hwnnw o gwbl.

Os mai'r nod yw hunaniaeth allbwn gyhoeddus sefydlog ar gyfer defnyddwyr VPN, dyluniad NAT ar yr ochr allbwn yw hynny, nid cyfeiriad ar diwnel y cleient. Mae tri nod sy'n swnio'n debyg yn cynhyrchu tri diagram gwahanol, a dim ond un ohonynt yn cynnwys rhoi Elastic IP yn rhywle newydd.

Gwirio'r llwybr a ddewisoch

Ar gyfer mynediad preifat, cadarnhewch fod llwybr y VPN yn cwmpasu'r rhagddodiad preifat, bod tabl llwybrau'r VPC yn dychwelyd traffig i'r tiwnel, bod y grŵp diogelwch yn caniatáu ffynhonnell y cleient ac bod tânwal y cleient ei hun yn caniatáu'r ateb. Yna profwch un cais go iawn yn hytrach na ping.

Ar gyfer mynediad cyhoeddus, cadarnhewch allbwn rhyngrwyd y cleient, llwybro'r fynedfa gyhoeddus a'i bolisi diogelwch. Mae a all cleient VPN gyrraedd pen cyhoeddus drwy'r tiwnel yn dibynnu ar reolau allbwn a thânwal y tiwnel, nid ar gysylltiad yr Elastic IP.

Os oes rhaid i enw gwesteiwr cyhoeddus weithio o'r ddwy ochr, defnyddiwch ddyluniad DNS sy'n ateb â'r cyfeiriad preifat ar gyfer cleientiaid VPN a'r cyfeiriad cyhoeddus ar gyfer pawb arall, a chadwch y dystysgrif yn ddilys ar gyfer yr enw yn hytrach na'r cyfeiriad. Trefn y gwaith: enwch y nod, dewiswch y cyfeiriad sy'n perthyn iddo, yna gwiriwch lwybrau, polisi ac un cais.