EC2 σε ζώνες διαθεσιμότητας: ελέγξτε τη δρομολόγηση πριν από ένα VPN

Πριν εγκαταστήσετε λογισμικό VPN μεταξύ δύο παρουσιών EC2, απαντήστε σε ένα ερώτημα: βρίσκονται στο ίδιο VPC; Αν ναι, η ιδιωτική διαδρομή υπάρχει ήδη και η τοποθέτηση σε διαφορετικές ζώνες δεν το αλλάζει. Το μεγαλύτερο μέρος της δουλειάς σε αυτή την περίπτωση είναι να επιβεβαιώσετε ποιον πίνακα δρομολόγησης χρησιμοποιεί στην πραγματικότητα κάθε υποδίκτυο και μετά να διαπιστώσετε αν η αποτυχία ήταν ποτέ πρόβλημα δρομολόγησης. Μια σήραγγα είναι συνήθως η λάθος απάντηση σε αυτό το συγκεκριμένο ερώτημα.

Έλεγχος 1: ίδιο VPC ή διαφορετικά VPC

Ένα VPC είναι περιφερειακό και καλύπτει ζώνες διαθεσιμότητας, ενώ κάθε υποδίκτυο ανήκει σε ακριβώς μία ζώνη. Δύο παρουσίες σε διαφορετικές ζώνες ενός VPC είναι ακόμη μέσα στο ίδιο πεδίο ιδιωτικής δρομολόγησης.

Διαφορετικά VPC δεν αποκτούν ποτέ ιδιωτική διαδρομή επειδή μοιράζονται μια περιοχή ή μια ετικέτα ζώνης. Αυτή η περίπτωση απαιτεί υποστηριζόμενη σύνδεση και δική της εργασία σε διαδρομές και άδειες, που είναι ξεχωριστή απόφαση.

Έλεγχος 2: τι λένε οι πίνακες δρομολόγησης των υποδικτύων

Γράψτε τη διάταξη με πραγματικές τιμές. Ένα VPC στη διεύθυνση 10.60.0.0/16 με υποδίκτυα 10.60.1.0/24 και 10.60.2.0/24 δίνει στις παρουσίες 10.60.1.10 και 10.60.2.20 μια διαδρομή μέσω της τοπικής διαδρομής του VPC.

Στη συνέχεια εξετάστε τους πίνακες που σχετίζονται με τα δύο υποδίκτυα, όχι μόνο εκείνον που βρήκατε πρώτο. Μια πιο ειδική διαδρομή επιθεώρησης ή συσκευής μπορεί να υπερισχύσει της βασικής, και ο στόχος της τοπικής διαδρομής μπορεί ο ίδιος να αντικατασταθεί σε νεότερες διαμορφώσεις. Μια τοπική διαδρομή ορατή κάπου στην κονσόλα δεν αποδεικνύει ότι τη χρησιμοποιούν και τα δύο φορτία εργασίας.

Χρησιμοποιήστε τις ιδιωτικές διευθύνσεις και ονόματα που εκχωρεί πραγματικά το VPC. Μια ιδιωτική διεύθυνση δεν χρειάζεται να ξεκινά με 10, και το να επινοήσετε μία από μνήμης είναι ο τρόπος να διαγνώσετε λάθος ένα περιβάλλον που λειτουργεί.

Έλεγχος 3: δρομολόγηση ή εξουσιοδότηση

Η δρομολόγηση φτάνει το πακέτο μόνο έως τη διεπαφή δικτύου του στόχου. Η ομάδα ασφαλείας του στόχου πρέπει ακόμη να δεχτεί την πηγή και την υπηρεσία, οι κανόνες εξόδου της πηγής πρέπει να επιτρέπουν το αίτημα, και οποιοδήποτε ACL δικτύου πρέπει να επιτρέπει και τις δύο κατευθύνσεις επειδή τα ACL δεν διατηρούν κατάσταση.

Πίσω από αυτά βρίσκονται το τείχος προστασίας του φιλοξενούμενου, η δέσμευση του ακροατή και η ταυτότητα της ίδιας της εφαρμογής. Καθένα μπορεί να απορρίψει ένα αίτημα που η δρομολόγηση παρέδωσε άψογα.

Η αποδοχή πρέπει να είναι η πραγματική λειτουργία της εφαρμογής. Ένα επιτυχημένο ping δεν παρέχει πρόσβαση στην εφαρμογή ούτε αποδεικνύει ότι το όνομα TLS και τα διαπιστευτήρια είναι σωστά, και ένα μπλοκαρισμένο ping δεν αποδεικνύει ότι κάθε ιδιωτική υπηρεσία είναι εκτός λειτουργίας.

Έλεγχος 4: απαιτείται πραγματικά ξεχωριστή σύνδεση

Ένα VPN μπορεί να ανήκει στον σχεδιασμό, αλλά για δηλωμένο λόγο: σύνδεση αυτού του VPC με γραφείο, αποδοχή φορητών υπολογιστών ή κάλυψη απαίτησης overlay. Αυτός ο λόγος διαφέρει από τη συνηθισμένη επικοινωνία εντός του ίδιου VPC.

Θυμηθείτε επίσης τι δεν είναι ένα VPC. Δεν είναι επέκταση ενός οικιακού τμήματος Ethernet. Μια εφαρμογή που εξαρτάται από ανακάλυψη μέσω broadcast έχει ξεχωριστή απαίτηση προς αξιολόγηση. Αυτό είναι κενό σχεδιασμού και όχι σφάλμα δρομολόγησης.

Έλεγχος 5: το ζήτημα της κρυπτογράφησης

Μια ιδιωτική διεύθυνση και ένας κανόνας αποδοχής δεν λένε τίποτα για κρυπτογραφική προστασία στο επίπεδο εφαρμογής. Αν τα δεδομένα χρειάζονται προστασία από άκρη σε άκρη, αυτή προέρχεται από το πρωτόκολλο και το μοντέλο ταυτότητας που υποστηρίζει πραγματικά η υπηρεσία.

Κρατήστε τους ισχυρισμούς για το επίπεδο δικτύου και το επίπεδο εφαρμογής ξεχωριστούς στη σημείωση σχεδιασμού, γιατί η συγχώνευσή τους είναι ο τρόπος με τον οποίο μια αναθεώρηση καταλήγει να δηλώνει προστασία που κανείς δεν υλοποίησε.

Τι να καταγράψετε

Καταγράψτε και τα δύο αναγνωριστικά υποδικτύου, τον πίνακα δρομολόγησης που σχετίζεται με καθένα, τις αναφορές των ομάδων ασφαλείας και τη λειτουργία εφαρμογής που δοκιμάσατε. Αυτά είναι τέσσερα γεγονότα και λύνουν τις περισσότερες μελλοντικές διαφωνίες για αυτή τη διαδρομή.

Η τοποθέτηση σε ζώνη από μόνη της δεν σας λέει ποτέ να προσθέσετε VPN και δεν εξηγεί ποτέ γιατί απέτυχε ένα ιδιωτικό αίτημα.