Pa IP ffynhonnell mae gateway NAT AWS yn ei defnyddio tuag at VPN?

Rydych yn agor consol VPC oherwydd bod partner wedi gofyn pa amrediad ffynhonnell fydd yn cyrraedd dros y VPN safle-i-safle. Mae’r dudalen gateways NAT yn dangos gateway cyhoeddus ag Elastic IP ynghlwm, a’r temtasiwn yw anfon y cyfeiriad hwnnw a symud ymlaen. Hwn yw’r ateb cywir ar gyfer llwybr y rhyngrwyd a’r ateb anghywir ar gyfer llwybr y VPN, a’r gwahaniaeth yw pa gateway y mae’r tabl llwybrau yn pwyntio ato. Cerddwch y llwybr cyn ysgrifennu’r rhestr ganiatáu.

Dechreuwch ar y dudalen gateways NAT, nid ar y rhestr ganiatáu

Mae’r dudalen gateways NAT yn dweud yr is-rwydwaith, y math a’r Elastic IP wrthych, ac mae’r tri maes hynny’n ddigon i ddechrau. Yr hyn nad yw’n ei ddweud yw’r llwybr y mae’r traffig yn mynd ar ei hyd wedyn. Daw hynny o’r tablau llwybrau sydd ynghlwm wrth is-rwydwaith y gateway NAT.

Darllenwch y math yn gyntaf, oherwydd cyhoeddus neu breifat sy’n penderfynu a fydd gateway rhyngrwyd yn ymddangos yn nes ymlaen yn y gadwyn. Yna darllenwch yr is-rwydwaith, oherwydd dyna lle mae’r ail lwybr.

Dilynwch y ddau gyfieithiad

Mae gateways NAT cyhoeddus a phreifat ill dau yn cyfieithu ffynhonnell IPv4 preifat y llwyth gwaith i gyfeiriad IPv4 preifat y gateway NAT ei hun. Mae’r cyfieithiad cyntaf hwnnw’n digwydd waeth beth yw’r math. Yr ail gyfieithiad yw’r un y mae pobl yn ei anghofio: mae gateway NAT cyhoeddus yn trosglwyddo’r traffig i’r gateway rhyngrwyd, sy’n mapio’r cyfeiriad i’r Elastic IP cysylltiedig.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Ar y llwybr preifat nid oes gateway rhyngrwyd yn y gadwyn. Pan fydd traffig yn gadael trwy gateway trawsit neu gateway preifat rhithwir, mae’r canllaw gateways NAT, yn unol â’r ddogfennaeth, yn nodi cyfeiriad preifat y gateway NAT fel y ffynhonnell y mae’r ochr bell yn ei derbyn. Dyna’r cyfeiriad y dylai’r partner ei ganiatáu, nid yr Elastic IP.

Mae llwybr y VPN fel arfer yn dangos y cyfeiriad preifat

Ar gyfer llwyth gwaith yn 10.20.1.0/24 sy’n cyrraedd rhagddodiad partner, mae tabl llwybrau is-rwydwaith y llwyth gwaith yn pwyntio at y gateway NAT, ac mae tabl llwybrau is-rwydwaith y gateway NAT yn pwyntio at lwybr y gateway preifat. Mae’r ddau naid yn bwysig, a dim ond yr ail sy’n penderfynu beth y mae’r partner yn ei weld. Os nad oes gan is-rwydwaith NAT unrhyw lwybr i lwybr y VPN, ni fydd y pecyn byth yn cyrraedd, ac mae hynny’n fethiant gwahanol i gyfeiriad ffynhonnell anghywir.

Gwiriwch yr ail lwybr hwnnw cyn trafod cyfeiriadau o gwbl. Mae llwybr ar goll a ffynhonnell wedi’i chofnodi’n anghywir yn edrych yn union yr un fath i bartner nad yw’n gweld traffig o gwbl.

Pan fydd ail gyfieithiad yn newid yr ateb

Mae AWS hefyd yn cynnig mapio NAT un-i-un penodol sy’n cyfateb ar atodiad gateway trawsit. Gall y mapio hwnnw gyfieithu’r ffynhonnell eto cyn i’r gwasanaeth pell ei gweld, ac nid dyma’r ymddygiad diofyn sy’n llwybro’n unig. Gan fod yn rhaid ei ffurfweddu’n fwriadol, triniwch ef fel eithriad dylunio yn hytrach na rhywbeth a etifeddwch ar ddamwain. Os nad oes neb yn eich tîm yn cofio ei droi ymlaen, cymerwch nad yw yno nes i chi ddarllen yr atodiad.

Os yw eich dyluniad yn ei ddefnyddio, rhaid i’r rhestr ganiatáu ddisgrifio’r mapio terfynol yn hytrach nag un cyfeiriad y gateway NAT. Mae’r un rhybudd yn berthnasol i lwybrau argaeledd: pan fydd sawl cyfeiriad gateway yn cymryd rhan, y set ffynhonnell a ddisgwylir yw’r undeb, nid un cyfeiriad cynrychiadol. Nodwch pa gyfieithiad y mae pob cyfeiriad yn perthyn iddo, oherwydd mae’n amhosibl archwilio rhestr heb darddiad yn ddiweddarach.

Ni ellir rhoi gwasanaeth rhyngrwyd i gateway NAT preifat trwy ei bwyntio at gateway rhyngrwyd; mae AWS yn nodi bod traffig o’r fath yn cael ei daflu. Dewiswch y math o’r llwybr cyfan, nid o’r gair VPN yn y gofyniad.

Ysgrifennwch y contract y gall eich partner weithredu arno

Mae gan y contract defnyddiadwy bedair rhan: y cyfeiriad y mae llif yn cael ei gychwyn ohono, yr hunaniaeth gyfieithiedig y bydd y partner yn ei gweld, y llwybr dychwelyd ar gyfer yr hunaniaeth honno, a’r cwmpas amddiffyn sy’n berthnasol. Mae llifoedd gateway NAT yn cael eu cychwyn o’r ochr ffynhonnell a gefnogir, felly nid yw hwn yn wasanaeth anfon portau i mewn ar gyfer amlygu llwyth gwaith preifat. Mae dweud hynny’n uchel yn gynnar yn atal adolygiad dylunio lle’r oedd pob ochr yn cymryd mai’r llall oedd yn cychwyn.

Mae cyfieithu’n prynu rhyddhad rhag gorgyffwrdd cyfeiriadau a pholisi ffynhonnell rhagweladwy, ac mae’n costio hunaniaeth unigol y llwyth gwaith ichi yng nghofnodion y partner. Os oes angen priodoliad fesul llwyth gwaith ar archwiliad, cadwch yr hunaniaeth honno yn haen y cymhwysiad yn hytrach na cheisio ei hadfer o gyfeiriad ffynhonnell cyfieithiedig.

Yna ailwirwch y ddau dabl llwybrau ar ôl unrhyw newid, oherwydd mae atodiad newydd neu is-rwydwaith wedi’i hailsgri fel arfer yn ailysgrifennu’r ateb yn dawel.