EC2 über Verfügbarkeitszonen: Routing vor einer VPN prüfen
Zwei EC2-Instanzen in derselben VPC teilen bereits privates Routing über Zonen hinweg. Prüfen Sie die Subnetz-Tabellen und die Zugriffsregeln, bevor Sie einen weiteren Tunnel hinzufügen.
Bevor Sie VPN-Software zwischen zwei EC2-Instanzen installieren, beantworten Sie eine Frage: Sind sie in derselben VPC? Wenn ja, existiert der private Pfad bereits, und eine Platzierung über Zonen hinweg ändert daran nichts. Der größte Teil der Arbeit besteht in dieser Situation darin, zu bestätigen, welche Routing-Tabelle jedes Subnetz tatsächlich nutzt, und dann herauszufinden, ob der Fehler überhaupt ein Routingproblem war. Ein Tunnel ist auf diese konkrete Frage meist die falsche Antwort.
Prüfung 1: gleiche VPC oder verschiedene VPCs
Eine VPC ist regional und umfasst Verfügbarkeitszonen, während jedes Subnetz zu genau einer Zone gehört. Zwei Instanzen in verschiedenen Zonen einer VPC liegen weiterhin in derselben privaten Routing-Domäne.
Verschiedene VPCs erhalten nie deshalb eine private Route, weil sie eine Region oder ein Zonenlabel teilen. Dieser Fall benötigt eine unterstützte Verbindung sowie eigene Arbeit an Routen und Berechtigungen, was eine separate Entscheidung ist.
Prüfung 2: was die Routing-Tabellen der Subnetze sagen
Schreiben Sie das Layout mit echten Werten auf. Eine VPC unter 10.60.0.0/16 mit den Subnetzen 10.60.1.0/24 und 10.60.2.0/24 gibt den Instanzen 10.60.1.10 und 10.60.2.20 einen Pfad über die lokale Route der VPC.
Prüfen Sie dann die Tabellen, die beiden Subnetzen zugeordnet sind, und nicht nur die, die Sie zuerst gefunden haben. Eine spezifischere Prüfungs- oder Appliance-Route kann die Basisroute überschreiben, und das Ziel der lokalen Route kann in neueren Konfigurationen selbst ersetzt werden. Eine lokal sichtbare Route irgendwo in der Konsole beweist nicht, dass beide Workloads sie nutzen.
Verwenden Sie die privaten Adressen und Namen, die die VPC tatsächlich vergibt. Eine private Adresse muss nicht mit 10 beginnen, und eine aus dem Gedächtnis zu erfinden, ist der Weg, eine funktionierende Umgebung falsch zu diagnostizieren.
Prüfung 3: Routing oder Autorisierung
Routing bringt das Paket nur bis zur Netzwerkschnittstelle des Ziels. Die Sicherheitsgruppe des Ziels muss Quelle und Dienst weiterhin zulassen, die Egress-Regeln der Quelle müssen die Anfrage erlauben, und jede Netzwerk-ACL muss beide Richtungen zulassen, weil ACLs zustandslos sind.
Dahinter stehen die Gast-Firewall, die Bindung des Listeners und die eigene Identität der Anwendung. Jede davon kann eine Anfrage ablehnen, die das Routing einwandfrei zugestellt hat.
Die Annahme muss der echte Anwendungsvorgang sein. Ein erfolgreicher Ping gewährt keinen Anwendungszugriff und beweist nicht, dass TLS-Name und Anmeldedaten korrekt sind, und ein blockierter Ping belegt nicht, dass jeder private Dienst ausgefallen ist.
Prüfung 4: ist eine separate Verbindung wirklich erforderlich
Eine VPN kann weiterhin zum Design gehören, aber aus einem genannten Grund: diese VPC mit einem Büro zu verbinden, Laptops zuzulassen oder eine Overlay-Anforderung zu erfüllen. Dieser Grund unterscheidet sich von gewöhnlicher Kommunikation innerhalb derselben VPC.
Denken Sie auch daran, was die VPC nicht ist. Sie ist keine Erweiterung eines häuslichen Ethernet-Segments. Eine Anwendung, die auf Broadcast-Erkennung angewiesen ist, hat eine gesonderte Anforderung zu bewerten. Das ist eine Designlücke und kein Routingfehler.
Prüfung 5: die Verschlüsselungsfrage
Eine private Adresse und eine Erlaubnisregel sagen nichts über kryptografischen Schutz auf der Anwendungsschicht. Wenn die Daten Ende-zu-Ende-Schutz brauchen, kommt dieser aus dem Protokoll und dem Identitätsmodell, die der Dienst tatsächlich unterstützt.
Halten Sie Aussagen zur Netzwerk- und Anwendungsschicht im Designvermerk getrennt, denn deren Vermischung führt dazu, dass eine Prüfung am Ende Schutz behauptet, den niemand umgesetzt hat.
Was festzuhalten ist
Halten Sie beide Subnetz-IDs fest, die jeweils zugeordnete Routing-Tabelle, die Sicherheitsgruppen-Referenzen und den getesteten Anwendungsvorgang. Das sind vier Fakten, und sie entscheiden die meisten künftigen Diskussionen über diesen Pfad.
Die Zonenplatzierung allein sagt Ihnen nie, dass Sie eine VPN hinzufügen sollen, und sie erklärt nie, warum eine private Anfrage fehlgeschlagen ist.