strongSwan ar EC2: gwnewch i'r VPC lwybro'r llwyth gwaith

Mae'r twnnel i fyny, gall enghraifft y giât wneud ping i'r rhwydwaith o bell, ac ni all yr enghraifft gymhwysiad wrth ei hymyl gyrraedd unrhyw beth. Nid oes unrhyw beth wedi torri. Dechreuodd y prawf a lwyddodd ar y gwesteiwr VPN, ac ni ofynnodd erioed a allai'r gwesteiwr hwnnw gario cyfeiriad ffynhonnell wahanol trwy'r un berthynas IPsec. Mae'r llawlyfr hwn yn cau'r bwlch hwnnw mewn pedwar cam, yn y drefn sy'n cadw pob methiant yn weladwy.

Ysgrifennwch y pedwar cyfeiriad i lawr yn gyntaf

Mae pob cam isod yn cyfeirio at y rhain, felly llenwch nhw ar gyfer eich cyfrif eich hun cyn cyffwrdd â thabl llwybro.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Mae'r enghraifft yn tybio cysylltiad IPsec polisi-seiliedig cymeradwy sy'n gweithio, a llif sy'n cadw'r ffynhonnell. Nid cleient mynediad o bell NAT yw hwn sy'n benthyca un cyfeiriad penodedig, ac mae'r gwahaniaeth hwnnw'n penderfynu a oes rhaid i'r detholwyr newid.

Cam 1: rhowch lwybr i is-rwydwaith y llwyth gwaith

Mae angen llwybr ar y tabl llwybro sydd mewn gwirionedd yn gysylltiedig ag is-rwydwaith y llwyth gwaith ar gyfer y rhagddodiad o bell sy'n pwyntio at ryngwyneb rhwydwaith y giât. Nid yw llwybr gwestai a osodir y tu mewn i'r enghraifft yn gofnod yn y tabl llwybro AWS hwnnw, ac ni fydd unrhyw faint o ffurfweddiad strongSwan yn creu un.

Mae canllaw llwybro trwy offer AWS yn disgrifio targedau rhyngwyneb rhwydwaith a gofyniad gwirio ffynhonnell/cyrchfan yr enghraifft sy'n anfon ymlaen. Cyfyngwch y newid gwirio hwnnw i rôl y giât, a gadewch enghreifftiau cymhwysiad cyffredin yn llonydd.

Peidiwch â disodli llwybr lleol y VPC na phob cofnod presennol i wneud lle i un rhwydwaith cymeradwy. Archwiliwch beth sydd wedi'i gysylltu ac yn weithredol yn hytrach na'r hyn y mae tudalen gonsol yn ei ddangos ar gyfer tabl llwybro nad oes neb yn ei ddefnyddio. Gall dau dabl sy'n edrych yr un fath fod â chysylltiadau gwahanol. Yr un sy'n bwysig yw'r un y mae is-rwydwaith y llwyth gwaith ynghlwm wrtho.

Cam 2: galluogwch anfon ymlaen ar y gwesteiwr

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Rhaid i'r cnewyllyn anfon ymlaen, a rhaid i wal dân y gwesteiwr ganiatáu'r tramwy. Ychwanegwch y rheolau anfon ymlaen a fwriedir ar gyfer rhagddodiadau'r llwyth gwaith a'r rhai o bell yn hytrach na derbyn popeth, a chadarnhewch fod is-rwydwaith y giât yn cadw llwybr cludo defnyddiadwy ar gyfer ei thrafnidiaeth ei hun.

Grwpiau diogelwch yw'r lle y mae'r cam hwn fel arfer yn stopio. Nid yw blwch canol yn etifeddu ymddygiad cyfeirio grŵp diogelwch cyfathrebu uniongyrchol rhwng enghreifftiau, felly efallai na fydd rheol a gopïwyd o enghraifft Client VPN a reolir byth yn cyfateb. Gwiriwch y grŵp diogelwch a'r ACL is-rwydwaith ar y llwybr gwirioneddol, yn y ddau gyfeiriad.

Cam 3: ehangwch y detholwyr i'r gwir ffynonellau

Mae polisi sy'n gorchuddio 10.60.1.10/32 yn unig ar ochr AWS yn esbonio llwyddiant a ddechreuodd yn y giât heb orchuddio 10.60.2.20. Nid yw llwybr tuag at y gyrchfan o bell yn ehangu detholydd traffig, a dyna ail hanner yr un syndod.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Os yw'r cynllun y cytunwyd arno yn gwarchod y VPC cyfan, rhaid i'r ddau gyfoed dderbyn 10.60.0.0/16 a 10.90.0.0/24. Os yw'n gwarchod un llwyth gwaith, defnyddiwch y rhagddodiad culach hwnnw'n fwriadol. Naill ffordd neu'r llall, archwiliwch y polisi CHILD-SA sydd wedi'i osod, oherwydd nid yw ffurfweddiad a olygwyd gennych chi a chyfoed a'i culhaodd yn wahanol yr un cytundeb.

Rhaid i'r safle o bell hefyd lwybro atebion ar gyfer ffynonellau VPC a gadwyd yn ôl trwy'r giât IPsec a fwriedir. Cadwch yr eithriad NAT a gefnogir ar gyfer traffig gwarchodedig lle mae rheolau NAT ffynhonnell eraill yn bodoli; mae cyfieithu llwyth gwaith heb ei gymeradwyo i gyfeiriad gwesteiwr a ganiateir yn gontract hunaniaeth gwahanol, nid yn llwybr byr i'r mynediad a oedd ei eisiau.

Cam 4: gwiriwch, yna rholiwch yn ôl os oes angen

Profwch o'r llwyth gwaith ei hun gyda gweithrediad cymhwysiad newydd a ganiateir, yna ailadroddwch gyda chyrchfan y dylid ei heithrio. Cofnodwch y cyfeiriad ffynhonnell y mae'r gwasanaeth o bell yn ei weld a'r llwybr dychwelyd y mae'n ei ddefnyddio. Nid ping i'r giât na statws IKE gwyrdd yw'r prawf hwnnw.

Os yw'r llwyth gwaith yn dal i fethu tra bod y giât yn gweithio, cerddwch yn ôl trwy'r camau yn eu trefn: detholydd, yna anfon ymlaen a grwpiau diogelwch, yna'r tabl llwybro cysylltiedig. Mae gan bob un symptom gwahanol, ac mae dyfalu'n hepgor yr un sydd wir yn anghywir.

Mae rholio yn ôl yn gwrthdroi'r un drefn. Tynnwch lwybr is-rwydwaith y llwyth gwaith yn olaf, ar ôl adfer y detholwyr blaenorol, fel na fyddwch yn gadael is-rwydwaith yn pwyntio at giât nad yw bellach yn gwarchod ei ffynonellau. Gall hunan-gynnal wasanaethu mwy na gwesteiwr y giât pan fo'r contractau hyn yn dal, ac mae Site-to-Site VPN a reolir gan AWS yn fodel gweithredu gwahanol lle gall strongSwan fod ar ochr y giât cwsmer yn lle hynny.