AWS Client VPN με διαχωρισμένη σήραγγα: ποιες διαδρομές πρέπει να δημοσιεύσετε

Η κονσόλα προσφέρει διακόπτη διαχωρισμένης σήραγγας, οπότε η απόφαση μοιάζει με πλαίσιο ελέγχου. Δεν είναι. Αυτό που φτάνει πραγματικά στον πελάτη είναι το δημοσιευμένο σύνολο διαδρομών του τελικού σημείου, και αυτή η λίστα καθορίζει ποια ιδιωτικά προθέματα χρησιμοποιούν τη σήραγγα, αν η γενική κίνηση του διαδικτύου μένει τοπική ή βγαίνει μέσω AWS, και με ποιον resolver μπορεί ακόμη να μιλήσει ο πελάτης. Τρεις ερωτήσεις καθορίζουν τον σχεδιασμό, και καθεμία μπορεί να απαντηθεί λάθος ενώ η σύνδεση εξακολουθεί να πετυχαίνει.

Η σημαία διαχωρισμένης σήραγγας δεν είναι λίστα προορισμών

Η AWS περιγράφει τη διαχωρισμένη σήραγγα ως προσθήκη διαδρομών τελικού σημείου στον πίνακα διαδρομών του πελάτη κατά την εγκατάσταση της σύνδεσης. Μια διαδρομή για το ιδιωτικό VPC περιορίζει τη σήραγγα σε αυτόν τον προορισμό· όλα τα άλλα ακολουθούν τη συνηθισμένη πορεία του πελάτη. Η προεπιλεγμένη διαδρομή είναι διαφορετική οδηγία με διαφορετικό αποτέλεσμα, γι' αυτό η τεκμηρίωση της διαχωρισμένης σήραγγας προειδοποιεί να μη δημοσιεύεται το 0.0.0.0/0 σε τελικό σημείο ρυθμισμένο για αυτή τη λειτουργία: συνήθως σπάει τη συνδεσιμότητα αντί να την επεκτείνει. Ο πίνακας διαδρομών του τελικού σημείου είναι η πολιτική, και ο πίνακας διαδρομών του πελάτη είναι το αποτέλεσμα που μπορείτε να επιθεωρήσετε.

Διαβάστε τον πίνακα διαδρομών του τελικού σημείου και τις εγκατεστημένες διαδρομές του πελάτη μαζί. Η ετικέτα περιγράφει μια πρόθεση· οι διαδρομές περιγράφουν τι συμβαίνει.

Απόφαση πρώτη: πρέπει η γενική κίνηση του διαδικτύου να μείνει τοπική;

Αν η περιήγηση πρόκειται να χρησιμοποιεί τη δική του σύνδεση ο χρήστης, δημοσιεύστε μόνο τους ιδιωτικούς προορισμούς που χρειάζεται η εργασία και σταματήστε εκεί. Μην προσθέσετε διαδρομή διαδικτύου επειδή ένα φροντιστήριο πλήρους σήραγγας περιλάμβανε μία, και μην υποθέσετε ότι η επιπλέον διαδρομή βελτιώνει την ασφάλεια. Αλλάζει τη διαδρομή, δεν προσθέτει πολιτική, και συνήθως κοστίζει καθυστέρηση που δεν είχατε υπολογίσει.

Αν η κίνηση του διαδικτύου πρόκειται να βγει μέσω AWS, χτίστε την τεκμηριωμένη αρχιτεκτονική πρόσβασης στο διαδίκτυο: διαδρομή τελικού σημείου, κανόνες εξουσιοδότησης, τη διαδρομή του συσχετισμένου υποδικτύου, πολιτική ασφαλείας και μια λειτουργική έξοδο προς τα πάνω. Η προεπιλεγμένη διαδρομή από μόνη της δεν παρέχει τίποτα από αυτά.

Απόφαση δεύτερη: ποια ιδιωτικά προθέματα, με εξουσιοδότηση ποιου;

Δημοσιεύστε το μικρότερο σύνολο προορισμών που εξυπηρετεί το πραγματικό φόρτο εργασίας, και ελέγξτε ότι κάθε συσχετισμένο υποδίκτυο μπορεί να δρομολογήσει προς αυτούς. Ο στόχος διαδρομής του τελικού σημείου και η δρομολόγηση VPC του υποδικτύου είναι διαφορετικά επίπεδα, και μια διαδρομή που υπάρχει στο ένα δεν είναι απόδειξη για το άλλο. Η εξουσιοδότηση είναι πάλι ξεχωριστή: ένας προορισμός μπορεί να είναι προσβάσιμος και παρόλα αυτά να απορρίπτεται επειδή η ομάδα του πελάτη δεν έχει κανόνα που να τον επιτρέπει.

Η δοκιμή μιας μόνο επιτυχημένης συνεδρίας αποδεικνύει μία διαδρομή. Ελέγξτε κάθε συσχετισμένο υποδίκτυο, γιατί μια συσχέτιση υποδικτύου που προστέθηκε αργότερα είναι ακριβώς εκεί όπου συνήθως κρύβεται η διαδρομή που λείπει.

Όταν ένας προορισμός πρέπει να είναι προσβάσιμος με όνομα, σημειώστε ότι το επόμενο ζήτημα είναι η επίλυση ονομάτων, όχι η διαδρομή.

Απόφαση τρίτη: ποιος resolver ακολουθεί τη σήραγγα;

Ένας πελάτης μπορεί να λάβει διακομιστή DNS προσβάσιμο μόνο μέσω VPN, και αυτός ο resolver λειτουργεί μόνο αν η διεύθυνσή του βρίσκεται η ίδια μέσα σε εξουσιοδοτημένη διαδρομή. Επαληθεύστε και τα δύο μισά: η διεύθυνση του resolver ακολουθεί δημοσιευμένη διαδρομή, και ο διακομιστής απαντά στα ονόματα που ζητά η εφαρμογή. Ένα αίτημα που πετυχαίνει με διεύθυνση ενώ το όνομα κεντρικού υπολογιστή αποτυγχάνει δείχνει ονοματοδοσία, όχι δρομολόγηση, και η αποσφαλμάτωση της σήραγγας σε αυτή την περίπτωση σπαταλά το απόγευμα.

Τα δημόσια ονόματα πρέπει να επιλύονται όπως πριν από τη σύνδεση, που είναι άλλος ένας λόγος να είστε ακριβείς σε ό,τι δημοσιεύετε.

Αλλάξτε το σύνολο διαδρομών και μετά επαληθεύστε και τους δύο κόσμους

Η AWS τεκμηριώνει ότι η αλλαγή διαδρομών σε τελικό σημείο διαχωρισμένης σήραγγας επαναφέρει τις συνδέσεις των πελατών. Σχεδιάστε την αλλαγή με αυτό κατά νου: εφαρμόστε την, επανασυνδεθείτε μέσω του υποστηριζόμενου πελάτη και διαβάστε ξανά τις εγκατεστημένες διαδρομές αντί να εμπιστεύεστε κατάσταση που εφαρμόστηκε πριν από την επεξεργασία. Η παρωχημένη εφαρμοσμένη κατάσταση είναι ο συνηθέστερος λόγος που μια σωστή αλλαγή φαίνεται χαλασμένη.

Αποδεχτείτε τον σχεδιασμό μόνο όταν ένας ιδιωτικός πόρος και ένας δημόσιος προορισμός συμπεριφέρονται όπως πρέπει, με όνομα και με διεύθυνση, στις οικογένειες διευθύνσεων που υποστηρίζετε πραγματικά. Μια σήραγγα που πιστοποιεί δεν είναι το ίδιο με μια σήραγγα που διαχωρίζει σωστά.

Γράψτε τη λίστα διαδρομών στο runbook δίπλα στο σκεπτικό, ώστε ο επόμενος να ξεχωρίζει μια σκόπιμη εξαίρεση από μια ξεχασμένη.