Pam nad yw EC2 yn gallu cyrraedd eich gliniadur AWS Client VPN
Mae Client VPN yn cyfieithu ffynonellau IPv4 y cleient i ryngwyneb y pwynt terfyn. Dyna pam mae'r ateb yn gweithio ac nid yw cysylltiad newydd o EC2.
Mae gliniadur sy'n gysylltiedig drwy AWS Client VPN yn cyrraedd cymhwysiad EC2 heb drafferth. Yna rhowch gynnig ar y gwrthwyneb, o EC2 i'r cyfeiriad a roddwyd i'r cleient, ac mae'n hongian neu'n gwrthod. Anaml y mae'r anghymesuredd hwnnw'n rheol grŵp diogelwch sydd ar goll. Ar bwynt terfyn Client VPN sy'n gysylltiedig â subnets VPC, mae AWS yn cyfieithu ffynonellau IPv4 y cleient i ryngwyneb rhwydwaith y pwynt terfyn, felly nid oes cyfeiriad VPC anfonedig sy'n cynrychioli eich gliniadur.
Dechreuwch gyda'r hyn y mae'r cipolwg yn ei ddangos
Cymerwch gipolwg ar y gwesteiwr EC2 wrth i'r cleient gysylltu, a darllenwch y cyfeiriad ffynhonnell y mae'r cymhwysiad yn ei weld mewn gwirionedd. Os mai rhyngwyneb y pwynt terfyn ar ochr VPC ydyw yn hytrach na chyfeiriad o'r pwll cleientiaid, mae'r cyfieithiad wedi'i gadarnhau cyn i chi newid unrhyw reol.
Mae'r pwll cleientiaid yn amrediad dyrannu, nid yn subnet â llwybr dychwelyd. Dyna'r gwahaniaeth lle mae'r rhan fwyaf o'r ymchwiliadau hyn yn mynd o'i le.
Y cyfieithiad sy'n esbonio'r anghymesuredd
Mae tri ffrwd yn cael eu cymysgu â'i gilydd, a dim ond un ohonynt yw'r un y mae pobl yn ei brofi.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Mae disgrifiad cydrannau Client VPN yn dweud yn glir bod ffynonellau IPv4 y cleient yn cael eu cyfieithu i ryngwyneb y pwynt terfyn, sy'n ddigon i weld pam nad oes gan y rhes ganol unrhyw beth i gydweddu ag ef.
Mae cysylltiad newydd angen llwybr, cam datrys cyfeiriad a phenderfyniad awdurdodi. Nid yw cyflwr cyfieithu o sesiwn rhywun arall yn darparu'r un o'r tri.
Pam nad yw ateb yn gysylltiad newydd
Mae ateb TCP yn cael ei gydweddu â chofnod sy'n bodoli, a dyna pam mae'r llwybr dychwelyd yn gweithio heb unrhyw reol anfonedig o gwbl. Nid oes gan SYN newydd o westeiwr EC2 gofnod i gydweddu ag ef, felly mae'n dod yn ymgais allanedig gyffredin i gyrchfan nad yw'r VPC yn gwybod sut i'w chyrraedd.
Dyna hefyd pam mae disgrifio hyn fel traffig sy'n mynd un ffordd yn unig yn gamarweiniol. Mae traffig dychwelyd yn llifo'n barhaus yn y sesiynau hyn. Cychwyn yw'r rhan heb lwybr.
Beth sy'n dal i dorri sesiwn a ddylai weithio
Mae grwpiau diogelwch, ACLau rhwydwaith a mur tân y gliniadur ei hun i gyd yn bwysig i'r cysylltiadau a ddylai lwyddo. Ping sydd wedi methu sy'n dweud y lleiaf, oherwydd mae polisi ICMP yn aml ar wahân i'r polisi TCP sy'n bwysig i chi.
Ysgrifennwch y rheolau hynny yn erbyn y ffynhonnell gyfieithiedig, nid cyfeiriad y cleient. Rheolau sy'n cloi wrth y cyfeiriad na ymddangosodd erioed ar y gwifrau yw'r methiant hunan-achosedig mwyaf cyffredin yn y dyluniad hwn.
Pan fo'n rhaid i'r VPC ddechrau'r sgwrs
Os oes rhaid i wasanaeth hysbysu gorsaf waith, gwrthdroi'r cyfeiriad a gadewch i'r cleient ddal sianel allanedig barhaus y mae'r gwasanaeth yn ateb arni. Os oes rhaid i rwydwaith o bell gyfan fod yn gyrraeddadwy o'r VPC, dewiswch bensaernïaeth sy'n cyhoeddi ei rhagddodiadau a'i pholisi mynediad yn hytrach na thybio bod Client VPN eisoes yn gwneud hynny. Mae mynediad cleient-i-cleient yn drydydd achos, culach, gyda'i wrthrychau llwybr ac awdurdodi ei hun. Nid oes yr un o'r rhain yn flwch ticio ar y pwynt terfyn presennol.
Cadwch gwmpas yr esboniad IPv4 yn onest hefyd. Mae dogfennaeth bresennol AWS yn gwahanu IPv6, lle nad yw'r cyfieithiad hwnnw'n cael ei gymhwyso, a modelau atodi eraill sy'n llwybro'n wahanol.
Profwch mewn tri cham wedi'u labelu: mae'r cleient yn agor sesiwn a ganiateir, mae gwasanaeth y VPC yn ateb y sesiwn honno, ac mae gwesteiwr VPC yn agor sesiwn newydd tuag at y cleient. Mae'r ddau gyntaf yn llwyddo tra mae'r trydydd yn methu yn siâp disgwyliedig y dyluniad hwn, nid yn ddiffyg i'w hela â rheolau mur tân.