EC2 Elastic IP ei ole instantsi privaatne VPN-aadress

Instantsil on privaatne aadress, Elastic IP on sellega seotud ja selle avaliku /32 marsruut lisatakse VPN-i lootuses, et need kaks saavad samaks asjaks. Ei saa. Elastic IP on tõlge, mida tehakse väljaspool külalist, internetilüüsi poolt, liiklusel, mis läheb internetiteed. Külalise operatsioonisüsteem ei näe kunagi seda aadressi liidesele seadistatuna. Selle lisamine tunneliliidesele ei taasta ülemist tõlget ja loob samale masinale teise, vastuolulise identiteedi.

Kaks aadressi, üks instants

Instantsi võrguliides hoiab VPC sees privaatset aadressi ja see on aadress, mida külaline teab. Elastic IP on sama liidesega seotud, kuid elab vastenduse avalikul poolel.

Kõik, mis jõuab instantsini interneti kaudu, saabub privaatsele aadressile tõlgituna. Kõik, mille instants internetti saadab, lahkub Elastic IP-ga allikana, jällegi selle tõlke tõttu.

Külalise sees on üks aadress. Väljaspool on kaks. See asümmeetria selgitab suuremat osa segadusest selles valdkonnas. Külaline ei saa seadistada, mida lüüs tõlgib. Ta saab vastata ainult aadressil, mida ta tegelikult hoiab.

Mida internetilüüs tegelikult teeb

AWS-i internetilüüsi dokumentatsioon kirjeldab seda korraldust: instants on teadlik oma privaatsest IPv4-aadressist ja lüüs pakub internetiteel olevale liiklusele vastava avaliku IPv4 või Elastic IP tõlke.

See on võrguaadresside tõlge, mitte alias. Vastendust haldab lüüs, see on seotud assotsiatsiooniga ja kehtib ainult pakettidele, mis seda läbivad. Eemaldage assotsiatsioon ja avalik identiteet kaob, ilma et külaline midagi märkaks.

Seetõttu ei tõlgendata avalikule /32-le adresseeritud privaatset VPN-paketti ümber privaatseks paketiks külalise kohalikule aadressile. Pakett järgib marsruuti, millele see vastab, mis saadab selle internetilüüsile, ja lüüsi käitumine sõltub sellest, kas tee on lubatud mõlemas suunas.

Miks tunneliliidese trikk ebaõnnestub

Elastic IP omistamine tunneliliidesele nõuab külaliselt avaliku aadressi kohtlemist kohalikuna. Nüüd nõuavad kaks asja sama aadressi: lüüsi tõlge internetiteel ja kohalik liides tunneli sees. Tagasiliiklusel ei ole järjekindlat vastust, milline neist kehtib.

Isegi kui see näib töötavat, on disain peitnud tõelise küsimuse. Kliendid jõuavad kas privaatsele aadressile tunneli kaudu või avalikule lõpp-punktile interneti kaudu ning neil kahel teel on erinevad turbegrupid, erinev logimine ja erinevad tõrkerežiimid.

Aadress ei olnud kunagi probleem. Tee valik oli.

Kolm eesmärki, kolm disaini

Kui eesmärk on avalik VPN-i lõpp-punkt, on Elastic IP õige tööriist: kaugpartnerid ühenduvad sellega interneti kaudu ja krüpteeritud transport lõpeb instantsil. Seejärel kasutab rakenduse sisemine liiklus privaatset aadressi.

Kui eesmärk on privaatne juurdepääs rakendusele, on sihtkohaks privaatne aadress või privaatne DNS-nimi, mis sinna resolvub, ning VPN-i marsruut, turbegrupp ja tagasitee peavad kõik kokku sobima. Elastic IP ei esine selles disainis üldse.

Kui eesmärk on VPN-i kasutajate jaoks püsiv avalik väljumisidentiteet, on see NAT-disain väljumispool, mitte aadress kliendi tunnelis. Kolm sarnaselt kõlavat eesmärki annavad kolm erinevat diagrammi ja ainult üks neist hõlmab Elastic IP paigutamist uude kohta.

Kontrollige valitud teed

Privaatse juurdepääsu puhul veenduge, et VPN-i marsruut katab privaatse prefiksi, et VPC marsruutitabel tagastab liikluse tunnelisse, et turbegrupp lubab kliendi allikat ja et kliendi enda tulemüür lubab vastuse. Seejärel testige üht tõelist päringut, mitte pingi.

Avaliku juurdepääsu puhul veenduge kliendi internetiväljundis, avaliku sissepääsu marsruutimises ja selle turbepoliitikas. Kas VPN-klient pääseb tunneli kaudu avalikku lõpp-punkti, sõltub tunneli väljundi- ja tulemüürireeglitest, mitte Elastic IP assotsiatsioonist.

Kui avalik hostinimi peab toimima mõlemalt poolt, kasutage DNS-disaini, mis vastab VPN-klientidele privaatse aadressiga ja kõigile teistele avaliku aadressiga, ning hoidke sertifikaat kehtivana nime, mitte aadressi jaoks. Töö järjekord: nimetage eesmärk, valige sellele kuuluv aadress, seejärel kontrollige marsruute, poliitikat ja üht päringut.