Ποια διεύθυνση IP προέλευσης χρησιμοποιεί μια πύλη NAT του AWS προς ένα VPN;

Ανοίγετε την κονσόλα VPC επειδή ένας συνεργάτης ρώτησε ποιο εύρος προέλευσης θα φτάσει μέσω του VPN τοποθεσίας σε τοποθεσία. Η σελίδα πυλών NAT δείχνει μια δημόσια πύλη με συνδεδεμένη Elastic IP, και ο πειρασμός είναι να στείλετε αυτή τη διεύθυνση και να προχωρήσετε. Είναι η σωστή απάντηση για τη διαδρομή του διαδικτύου και η λάθος απάντηση για τη διαδρομή του VPN, και η διαφορά είναι σε ποια πύλη δείχνει ο πίνακας δρομολόγησης. Διαβάστε τη διαδρομή πριν γράψετε τη λίστα επιτρεπόμενων.

Ξεκινήστε από τη σελίδα πυλών NAT, όχι από τη λίστα επιτρεπόμενων

Η σελίδα πυλών NAT σας λέει το υποδίκτυο, τον τύπο και την Elastic IP, και αυτά τα τρία πεδία αρκούν για να ξεκινήσετε. Αυτό που δεν σας λέει είναι η διαδρομή που ακολουθεί μετά η κίνηση. Αυτό προκύπτει από τους πίνακες δρομολόγησης που συνδέονται με το υποδίκτυο της πύλης NAT.

Διαβάστε πρώτα τον τύπο, γιατί το δημόσιο ή ιδιωτικό καθορίζει αν θα εμφανιστεί αργότερα στην αλυσίδα μια πύλη διαδικτύου. Έπειτα διαβάστε το υποδίκτυο, γιατί εκεί βρίσκεται η δεύτερη διαδρομή.

Ακολουθήστε τις δύο μεταφράσεις

Τόσο οι δημόσιες όσο και οι ιδιωτικές πύλες NAT μεταφράζουν την ιδιωτική πηγή IPv4 του φόρτου εργασίας στη δική τους ιδιωτική διεύθυνση IPv4 της πύλης NAT. Αυτή η πρώτη μετάφραση συμβαίνει ανεξάρτητα από τον τύπο. Η δεύτερη μετάφραση είναι αυτή που ξεχνούν: μια δημόσια πύλη NAT παραδίδει την κίνηση στην πύλη διαδικτύου, η οποία αντιστοιχίζει τη διεύθυνση στη συνδεδεμένη Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Στην ιδιωτική διαδρομή δεν υπάρχει πύλη διαδικτύου στην αλυσίδα. Όταν η κίνηση βγαίνει μέσω πύλης διέλευσης ή εικονικής ιδιωτικής πύλης, ο οδηγός πυλών NAT τεκμηριώνει την ιδιωτική διεύθυνση της πύλης NAT ως την πηγή που λαμβάνει η απομακρυσμένη πλευρά. Αυτή είναι η διεύθυνση που πρέπει να επιτρέψει ο συνεργάτης, όχι η Elastic IP.

Η διαδρομή του VPN συνήθως δείχνει την ιδιωτική διεύθυνση

Για έναν φόρτο εργασίας στο 10.20.1.0/24 που φτάνει σε πρόθεμα συνεργάτη, ο πίνακας δρομολόγησης του υποδικτύου του φόρτου εργασίας δείχνει στην πύλη NAT, και ο πίνακας δρομολόγησης του υποδικτύου της πύλης NAT δείχνει στη διαδρομή της ιδιωτικής πύλης. Και τα δύο άλματα μετρούν, και μόνο το δεύτερο καθορίζει τι βλέπει ο συνεργάτης. Αν το υποδίκτυο NAT δεν έχει διαδρομή προς τη διαδρομή του VPN, το πακέτο δεν φτάνει ποτέ, και αυτό είναι διαφορετική αποτυχία από μια λανθασμένη διεύθυνση προέλευσης.

Επαληθεύστε αυτή τη δεύτερη διαδρομή πριν συζητήσετε καθόλου διευθύνσεις. Μια απούσα διαδρομή και μια λανθασμένα αναφερόμενη πηγή φαίνονται ίδιες σε έναν συνεργάτη που απλώς δεν βλέπει κίνηση.

Όταν μια δεύτερη μετάφραση αλλάζει την απάντηση

Το AWS προσφέρει επίσης μια ρητή, αντίστοιχη αντιστοίχιση NAT ένα προς ένα σε ένα προσάρτημα πύλης διέλευσης. Αυτή η αντιστοίχιση μπορεί να μεταφράσει ξανά την πηγή πριν τη δει η απομακρυσμένη υπηρεσία, και δεν είναι η προεπιλεγμένη συμπεριφορά που απλώς δρομολογεί. Επειδή πρέπει να ρυθμιστεί σκόπιμα, αντιμετωπίστε την ως εξαίρεση σχεδιασμού και όχι ως κάτι που κληρονομείτε κατά λάθος. Αν κανείς στην ομάδα σας δεν θυμάται να την ενεργοποίησε, υποθέστε ότι απουσιάζει μέχρι να διαβάσετε το προσάρτημα.

Αν ο σχεδιασμός σας τη χρησιμοποιεί, η λίστα επιτρεπόμενων πρέπει να περιγράφει την τελική αντιστοίχιση και όχι τη διεύθυνση της πύλης NAT. Η ίδια προσοχή ισχύει για τις διαδρομές διαθεσιμότητας: όταν συμμετέχουν πολλές διευθύνσεις πυλών, το αναμενόμενο σύνολο πηγών είναι η ένωση, όχι μία αντιπροσωπευτική διεύθυνση. Σημειώστε σε ποια μετάφραση ανήκει κάθε διεύθυνση, γιατί μια λίστα χωρίς προέλευση είναι αδύνατο να ελεγχθεί αργότερα.

Σε μια ιδιωτική πύλη NAT δεν μπορεί να δοθεί υπηρεσία διαδικτύου με το να τη στρέψετε σε πύλη διαδικτύου· το AWS τεκμηριώνει ότι τέτοια κίνηση απορρίπτεται. Επιλέξτε τον τύπο από την πλήρη διαδρομή, όχι από τη λέξη VPN στην απαίτηση.

Γράψτε το συμβόλαιο πάνω στο οποίο μπορεί να δράσει ο συνεργάτης σας

Το χρησιμοποιήσιμο συμβόλαιο έχει τέσσερα μέρη: την κατεύθυνση από την οποία ξεκινούν οι ροές, τη μεταφρασμένη ταυτότητα που θα δει ο συνεργάτης, τη διαδρομή επιστροφής για αυτή την ταυτότητα και το εύρος προστασίας που ισχύει. Οι ροές της πύλης NAT ξεκινούν από την υποστηριζόμενη πλευρά προέλευσης, επομένως δεν πρόκειται για υπηρεσία προώθησης θυρών εισόδου για την έκθεση ιδιωτικού φόρτου εργασίας. Το να το πείτε δυνατά νωρίς αποτρέπει μια αναθεώρηση σχεδιασμού όπου κάθε πλευρά υπέθετε ότι ξεκινούσε η άλλη.

Η μετάφραση αγοράζει ανακούφιση από την επικάλυψη διευθύνσεων και μια προβλέψιμη πολιτική πηγών, και σας κοστίζει την ατομική ταυτότητα του φόρτου εργασίας στα αρχεία καταγραφής του συνεργάτη. Αν ο έλεγχος χρειάζεται απόδοση ανά φόρτο εργασίας, κρατήστε αυτή την ταυτότητα στο επίπεδο εφαρμογής αντί να προσπαθείτε να την ανακτήσετε από μια μεταφρασμένη διεύθυνση προέλευσης.

Έπειτα ελέγξτε ξανά και τους δύο πίνακες δρομολόγησης μετά από οποιαδήποτε αλλαγή, γιατί ένα νέο προσάρτημα ή ένα υποδίκτυο που συνδέθηκε ξανά ξαναγράφει την απάντηση σιωπηλά.