VGW neu TGW? Ble mae twmnel IPsec AWS Site-to-Site yn dod i ben

Mae pobl yn gofyn ble mae VPN Site-to-Site AWS yn peidio â diogelu'r pecyn ac yn disgwyl un ateb: yn y giât. Y fersiwn ddefnyddiol o'r ateb hwnnw sy'n enwi pa giât, oherwydd bod giât breifat rithwir a giât drafnidiaeth yn drefniadau gwahanol â gwrthrychau atodi gwahanol, ac mae'r adolygydd sy'n tybio'r un anghywir yn adeiladu gweddill yr asesiad ar ddarlun nad yw'n bodoli. Gweithiwch drwy'r tri gwiriad isod yn eu trefn. Mae pob un naill ai'n cadarnhau'r ffin neu'n dweud wrthych fod yr ateb blaenorol yn ymwneud ag adnodd gwahanol.

Enwch y tri phen draw cyn asesu unrhyw beth

Mae angen tri pheth a enwir ar adolygiad amgryptio'r llwybr hwn: giât y cwsmer, targed VPN AWS sy'n terfynu IPsec, a phen draw'r cymhwysiad sy'n derbyn y pecyn mewnol. Ysgrifennwch nhw gyda'u dynodwyr adnoddau cyn agor unrhyw dudalen consol, oherwydd mae popeth ar ôl y pwynt hwn yn ddatganiad am un o'r tri.

Eich un chi yw giât y cwsmer ac mae ei chyfluniad yn weladwy i chi. Mae targed AWS yn adnodd a reolir, a'r camgymeriad yw ei dybio: gall cysylltiad VPN atodi i giât breifat rithwir neu'n uniongyrchol i giât drafnidiaeth, ac nid yw'r naill yn awgrymu'r llall. Y trydydd pen draw yw'r un y mae pobl yn ei hepgor, a dyma'r unig un sy'n ateb y cwestiwn gwirioneddol am ddata'r cymhwysiad.

Gwiriad 1: pa giât sy'n terfynu'r twmnel mewn gwirionedd

Cefnogir y ddau drefniad ac mae canllaw pensaernïaeth Site-to-Site VPN yn eu disgrifio ochr yn ochr, felly gofynnwch i'r API yn lle darlun sy'n aml yn flwyddyn oed. Mae ymholiad darllen yn unig ar un cysylltiad yn dychwelyd meysydd targed VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Y gwahaniaethydd yw TransitGatewayId, nid VpnGatewayId. Mae cysylltiad â TransitGatewayId yn wag yn terfynu ar giât breifat rithwir annibynnol, tra bod cysylltiad â'r maes hwnnw wedi'i osod yn terfynu ar atodiad VPN giât drafnidiaeth, a gall VpnGatewayId fod wedi'i lenwi o hyd yn yr achos hwnnw oherwydd y gall enwi giât gefn yr atodiad. Darllenwch faes TGW yn gyntaf, yna cadarnhewch y math o atodiad o'r rhestr atodi yn hytrach nag o enw maes, oherwydd nid atodiad VPN yw atodiad VPC ar y giât drafnidiaeth honno. Nid yw dod o hyd i'r enghraifft gyrchfan mewn VPC atodedig yn dweud dim wrthych am ba atodiad VPN a gludodd y pecyn.

Tra ydych yno, gwiriwch y twmneli. Mae'r cysylltiad yn cario dau dwmnel IPsec ar gyfer gormodedd, ac mae cysylltiad nad yw ei ail dwmnel erioed wedi codi yn ganfyddiad go iawn ar gyfer argaeledd er nad yw'n newid dim am y ffin amgryptio:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Gwiriad 2: beth mae'r pecyn mewnol yn ei gario o hyd

Unwaith y bydd IPsec yn terfynu, mae AWS yn anfon y pecyn dadgapsiwleiddiedig ymlaen gan ddefnyddio'r llwybr a oedd yn cyfateb iddo. O'r pwynt hwnnw mae'r traffig yn draffig VPC cyffredin, ac mae amddiffyniad y VPN wedi dod i ben. Nid bwlch yn y gwasanaeth yw hyn; dyna yw ystyr y ffin, ac eitem y rhestr wirio yw dweud hynny'n blwmp yn lle gadael i "mae'r VPN wedi'i amgryptio" sefyll dros "mae'r data wedi'i amgryptio o ben i ben".

Nawr archwiliwch beth oedd y tu mewn. Os yw'r pecyn mewnol yn brotocol cymhwysiad testun plaen, nid oes dim i lawr yr afon yn ychwanegu cyfrinachedd nes bod rhywbeth arall yn ei amgryptio. Os yw'r pecyn mewnol eisoes yn cario sesiwn TLS, nid yw tynnu'r IPsec allanol yn newid dim i'r sesiwn honno: mae'n parhau'n warchodedig hyd at ei phen draw ei hun, ble bynnag yw'r pen draw hwnnw.

Y cywiriad gormodol cyffredin yw casglu bod popeth y tu ôl i'r giât yn agored. Nac ydyw. Mae cludiant y gwasanaeth, amgryptio storio a TLS y cymhwysiad yn fecanweithiau ar wahân ag amodau ar wahân, a rhaid asesu pob un ar ei delerau ei hun yn hytrach na'i gasglu o siâp y VPN. Mae cofnod yn y log llifoedd sy'n dangos ACCEPT yn profi bod y llwybro wedi gweithio ac yn dweud dim am gyfrinachedd, sef yn union y camgymeriad y mae'r rhestr wirio hon yn bod i'w atal.

Gwiriad 3: beth sy'n terfynu TLS y tu ôl i'r giât

Dilynwch y gwrandawr, nid y cyfeiriad. Os yw cydbwysedd llwyth neu ddirprwy yn terfynu TLS, mae'r cysylltiad y mae eich cleient yn ei ddal yn dod i ben yno, ac mae'r dirprwy yn agor ail gysylltiad i'r cefn a allai fod yn destun plaen neu'n TLS â chadwyn ymddiriedaeth wahanol. Nid yw cyfeiriad IP preifat a llwybr cyfatebol yn dystiolaeth am yr ail gysylltiad hwnnw.

Profwch y pen draw y mae gwir ofal gennych amdano o du mewn i'r VPC, gyda'r enw y mae'r cymhwysiad yn ei ddefnyddio yn hytrach nag IP a ddatryswyd gennych unwaith:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Ailadroddwch hynny ar gyfer pob naid y mae'r cais yn mynd drwyddi. Os yw'r ateb yn wahanol rhwng yr enw sy'n wynebu'r cleient ac enw'r cefn, rydych wedi dod o hyd i'r union segment na chafodd y VPN afael arno, a dyna'r canfyddiad i'w ysgrifennu.

Cofnodwch y canlyniad fel segmentau, nid fel barn

Allbwn y rhestr wirio hon yw tabl bach ag un rhes y segment: giât y cwsmer i darged VPN AWS, giât i lwyth gwaith, llwyth gwaith i storfa ddata, ac unrhyw naid ddirprwy rhyngddynt. Mae pob rhes yn dweud beth sy'n ei diogelu ac ar beth y mae'r amddiffyniad hwnnw'n dibynnu. Nid yw "wedi'i amgryptio" heb fecanwaith a heb ben draw yn rhes.

Yna atebwch y gofyniad gwreiddiol yn yr un termau ag y gofynnwyd amdano. Os y gofyniad yw bod data'n aros yn gyfrinachol nes bod y llwyth gwaith yn ei dderbyn, mae'r VPN yn bodloni'r segment cyntaf yn unig, ac mae angen cludiant cymhwysiad, TLS gwasanaeth neu amgryptio storio ar y rhesi sy'n weddill, wedi'u cyflunio a'u gwirio ar wahân.

Cadwch y dynodwyr cysylltiad, cyflyrau'r twmneli a goddrychau'r tystysgrifau yn y cofnod. Pan fydd rhywun yn ailedrych ar y dyluniad mewn chwe mis, mae'r tri arteffact hynny'n ateb y cwestiwn ffin mewn munudau yn lle ailddechrau'r ddadl o ddarlun.