strongSwan sur EC2: igi la VPC enkursigi la laborŝarĝon

La tunelo estas aktiva, la enireja instanco povas pingi la malproksiman reton, kaj la aplikaĵa instanco apude atingas nenion. Nenio estas rompita. La sukcesa testo originis sur la VPN-gastiganto, kaj ĝi neniam demandis, ĉu tiu gastiganto povas porti alian fontan adreson tra la sama IPsec-rilato. Ĉi tiu gvidlibro fermas tiun breĉon en kvar paŝoj, laŭ la ordo, kiu tenas ĉiun fiaskon videbla.

Unue skribu la kvar adresojn

Ĉiu paŝo sube rilatas al ili, do plenigu ilin por via propra konto antaŭ ol tuŝi enkursigan tabelon.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

La ekzemplo supozas aprobitan, funkciantan politikbazitan IPsec-konekton kaj fontkonservan fluon. Ĉi tio ne estas NATita fora alira kliento prunteprenanta unu asignitan adreson, kaj tiu diferenco decidas, ĉu la selektiloj devas ŝanĝiĝi.

Paŝo 1: donu enkursigon al la subreto de la laborŝarĝo

La enkursiga tabelo efektive asociita kun la subreto de la laborŝarĝo bezonas vojon por la malproksima prefikso montranta al la reta interfaco de la enirejo. Gasta enkursigo instalita ene de la instanco ne estas ero en tiu AWS-enkursiga tabelo, kaj nenia kvanto da strongSwan-agordo kreos ĝin.

La gvidado de AWS pri enkursigado per aparato priskribas celojn de reta interfaco kaj la postulon de fonto/cela kontrolo por la plusendanta instanco. Limigu tiun kontrolŝanĝon al la enireja rolo, kaj lasu ordinarajn aplikaĵajn instancojn trankvile.

Ne anstataŭigu la lokan enkursigon de la VPC nek ĉiun ekzistantan eron por fari lokon por unu aprobita reto. Kontrolu, kio estas asociita kaj aktiva, anstataŭ kion konsola paĝo montras por enkursiga tabelo, kiun neniu uzas. Du tabeloj, kiuj aspektas same, povas havi malsamajn asociojn. La grava estas tiu, al kiu la subreto de la laborŝarĝo estas ligita.

Paŝo 2: ŝaltu plusendadon sur la gasto

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

La kerno devas plusendi, kaj la gastiganta fajroŝirmilo devas permesi la trairon. Aldonu la celitajn plusendajn regulojn por la laborŝarĝaj kaj malproksimaj prefiksoj anstataŭ akcepti ĉion, kaj konfirmu, ke la enireja subreto konservas uzeblan transportan vojon por sia propra trafiko.

Sekurecaj grupoj estas kie ĉi tiu paŝo kutime haltas. Mezaparato ne heredas la sekurecgrupan referencan konduton de rekta instanca komunikado, do regulo kopiita el ekzemplo de administrita Client VPN eble neniam kongruos. Kontrolu la sekurecgrupon kaj la subretan ACL sur la efektiva vojo, en ambaŭ direktoj.

Paŝo 3: larĝigu la selektilojn al la veraj fontoj

Politiko kovranta nur 10.60.1.10/32 ĉe la AWS-flanko klarigas sukceson originintan de la enirejo sen kovri 10.60.2.20. Enkursigo al la malproksima celo ne vastigas trafikan selektilon, kaj tio estas la dua duono de la sama surprizo.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Se la interkonsentita dezajno protektas la tutan VPC, ambaŭ partneroj devas akcepti 10.60.0.0/16 kaj 10.90.0.0/24. Se ĝi protektas unu laborŝarĝon, uzu tiun pli mallarĝan prefikson intence. Ĉiukaze, kontrolu la instalitan CHILD-SA-politikon, ĉar agordo, kiun vi redaktis, kaj partnero, kiu mallarĝigis ĝin alimaniere, ne estas la sama interkonsento.

La malproksima loko ankaŭ devas enkursigi respondojn por la konservitaj VPC-fontoj reen tra la celita IPsec-enirejo. Konservu la subtenatan NAT-escepton por protektita trafiko, kie ekzistas aliaj font-NAT-reguloj; traduki neaprobita laborŝarĝon en permesitan gastigantan adreson estas alia identeca kontrakto, ne fuŝvojo al la aliro, kiun vi volis.

Paŝo 4: kontrolu, poste restarigu laŭbezone

Testu de la laborŝarĝo mem per freŝa permesita aplikaĵa operacio, poste ripetu kun celo, kiu devus esti ekskludita. Notu la fontan adreson, kiun la malproksima servo vidas, kaj la revenan vojon, kiun ĝi uzas. Enireja ping aŭ verda IKE-stato ne estas tiu testo.

Se la laborŝarĝo ankoraŭ fiaskas dum la enirejo funkcias, reiru laŭ la paŝoj en ordo: selektilo, poste plusendado kaj sekurecaj grupoj, poste la asociita enkursiga tabelo. Ĉiu havas apartan simptomon, kaj divenado preterlasas tiun, kiu estas efektive malĝusta.

Restarigo inversigas la saman ordon. Forigu la enkursigon de la laborŝarĝa subreto laste, post restarigi la antaŭajn selektilojn, por ke vi ne lasu subreton montrantan al enirejo, kiu ne plu protektas siajn fontojn. Memgastigado povas servi pli ol la enireja gastiganto, kiam ĉi tiuj kontraktoj validas, kaj AWS-administrita Site-to-Site VPN estas alia operacia modelo, kie strongSwan povas sidi ĉe la klienta enirejo anstataŭe.