EC2 trans disponeblaj zonoj: kontrolu la enkursigon antaŭ VPN

Antaŭ ol instali VPN-programaron inter du EC2-procezoj, respondu unu demandon: ĉu ili estas en la sama VPC? Se jes, la privata vojo jam ekzistas kaj transzona lokigo tion ne ŝanĝas. La plejparto de la laboro en ĉi tiu situacio estas konfirmi kiun enkursigan tabelon ĉiu subtredo efektive uzas, kaj poste ekscii ĉu la malsukceso estis entute enkursiga problemo. Tunelo kutime estas la malĝusta respondo al ĉi tiu specifa demando.

Kontrolo 1: sama VPC aŭ malsamaj VPC-oj

VPC estas regiona kaj etendiĝas trans disponeblajn zonojn, dum ĉiu subtredo apartenas al ekzakte unu zono. Du procezoj en malsamaj zonoj de unu VPC ankoraŭ troviĝas en la sama privata enkursiga domajno.

Malsamaj VPC-oj neniam ricevas privatan vojon nur ĉar ili kunhavas regionon aŭ zonan etikedon. Tiu kazo bezonas subtenatan konekton kaj propran laboron pri vojoj kaj permesoj, kio estas aparta decido.

Kontrolo 2: kion diras la enkursigaj tabeloj de la subtredoj

Skribu la aranĝon per realaj valoroj. VPC ĉe 10.60.0.0/16 kun subtredoj 10.60.1.0/24 kaj 10.60.2.0/24 donas al la procezoj 10.60.1.10 kaj 10.60.2.20 vojon tra la loka vojo de la VPC.

Poste ekzamenu la tabelojn ligitajn al ambaŭ subtredoj, ne nur tiun, kiun vi trovis unue. Pli specifa inspekta aŭ aparata vojo povas anstataŭigi la bazan, kaj la celo de la loka vojo mem povas esti anstataŭigita en pli novaj agordoj. Loka vojo videbla ie en la konzolo ne pruvas, ke ambaŭ laborŝarĝoj uzas ĝin.

Uzu la privatajn adresojn kaj nomojn, kiujn la VPC efektive atribuas. Privata adreso ne devas komenciĝi per 10, kaj elpensi unu el memoro estas la maniero malĝuste diagnozi funkciantan medion.

Kontrolo 3: enkursigo aŭ rajtigo

Enkursigo nur kondukas la paketon al la reta interfaco de la celo. La sekureca grupo de la celo ankoraŭ devas akcepti la fonton kaj la servon, la eliraj reguloj de la fonto devas permesi la peton, kaj ajna reta ACL devas permesi ambaŭ direktojn ĉar ACL-oj ne konservas staton.

Malantaŭ tio staras la gastiga fajroŝirmilo, la ligo de la aŭskultanto kaj la propra identeco de la aplikaĵo. Ĉiu el ili povas rifuzi peton, kiun la enkursigo perfekte liveris.

La akcepto devas esti la reala aplikaĵa operacio. Sukcesa ping ne donas aplikaĵan aliron nek pruvas ke TLS-nomo kaj akreditaĵoj estas ĝustaj, kaj blokita ping ne pruvas ke ĉiu privata servo estas malsupren.

Kontrolo 4: ĉu aparta konekto vere necesas

VPN ankoraŭ povas aparteni al la dezajno, sed pro deklarata kialo: konekti ĉi tiun VPC al oficejo, akcepti tekkomputilojn aŭ plenumi postulon pri supermetaĵo. Tiu kialo malsamas de ordinara komunikado ene de la sama VPC.

Memoru ankaŭ, kio la VPC ne estas. Ĝi ne estas etendaĵo de hejma Ethernet-segmento. Aplikaĵo, kiu dependas de dissenda malkovro, havas apartan postulon por taksi. Tio estas dezajna manko, ne enkursiga cimo.

Kontrolo 5: la demando pri ĉifrado

Privata adreso kaj permesa regulo diras nenion pri kriptografia protekto ĉe la aplikaĵa tavolo. Se la datumoj bezonas protekton de fino al fino, tio venas de la protokolo kaj identecmodelo, kiujn la servo efektive subtenas.

Tenu asertojn pri la reta tavolo kaj la aplikaĵa tavolo aparte en la dezajnnoto, ĉar ilia kunfandiĝo estas la maniero kiel revizio finas asertante protekton, kiun neniu efektivigis.

Kion registri

Registru ambaŭ subtretajn identigilojn, la enkursigan tabelon ligitan al ĉiu, la sekurecgruppreferencojn kaj la aplikaĵan operacion, kiun vi testis. Tio estas kvar faktoj, kaj ili solvas la plej multajn estontajn disputojn pri ĉi tiu vojo.

Zona lokigo sole neniam diras al vi aldoni VPN, kaj ĝi neniam klarigas kial privata peto malsukcesis.