AWS Client VPN saio baten atzeko LANa: zer birbidaltzen den

Ordenagailu eramangarria AWS Client VPN amaierako puntura konektatzen da, azpisare pribatura iristen da eta dena osasuntsu dirudi. LAN bereko mahaigainak ez du inora iristen, Linux ostalariak zubi interfaze bat ere baduen eta bi makinak kable berean dauden arren. Tunelean ez dago ezer gaizki konfiguratuta; falta den pieza bideratzea da, eta zubia arrasto faltsua da.

Client VPN saio bat LANera hedatzea atearen rola da. Ez da zerbitzu kudeatu batera luzatutako Ethernet segmentua.

Ostalariak funtzionatzen du eta LANak ez

Linux makinaren tunel interfazeak Client VPN bezeroaren CIDR barruan dagoen helbidea du, eta amaierako puntuak VPC barrutietarako ibilbideak bultzatu ditu. Makina horretan egindako eskaera tokian sortutako trafikoa da: ibilbide bat aukeratzen du, tunelatik irteten da eta erantzun bat jasotzen du. Bide horrek ez die inoiz ukitzen birbidalketa kodeari, LAN interfazeari edo transitoa gobernatzen duen suebaki araurik.

Beste LAN gailu batetik datorren trafikoa beste fluxu bat da. LAN interfazera iristen da, tunelera seinalatzen duen ibilbide bat behar du, birbidalketa gaituta behar du, onartzen duen suebaki bat behar du, eta erantzunak ostalari beretik itzuli behar du. Lau baldintza, eta eramangailuaren proba arrakastatsuak ez du bat bera ere frogatzen. Mahaigainetik hutsegitea arraroa dirudi: tunela aktibo dago, kredentzialak baliozkoak dira, eta helmugak ez du inoiz erantzuten. Akatsa ateko birbidalketa bidean dago, ez zerbitzuan.

Ez edozein bezero izan daiteke ate

AWSk dio bere Client VPN mahaigaineko aplikazioak ez duela IP birbidalketa onartzen, eta beste bezeroek bai. Murrizketa horrek arkitektura erabakitzen du edozein komando idatzi aurretik. Eskuragarri dagoen bezero bakarra mahaigaineko aplikazio ofiziala bada, LANerako birbidaltzen duen Linux atea ez da osa dezakezun konfigurazioa, eta masquerading kopuruak ez du hori aldatuko.

Ordezko bezeroak amaierako puntuaren autentifikazio metodora eta betearazi nahi duzun politikara egokitu behar du. Ziurtagirietan, direktorioan eta SAMLn oinarritutako amaierako puntuek ez dituzte bezero konfigurazio berak onartzen, eta autentifikatzen baina bultzatutako ibilbideak alde batera uzten dituen hirugarrenen bezeroa ez da hobekuntza.

Hartu bezeroaren aukera diseinu berrikuspenaren parte gisa. LAN birbidalketa eredua erabilgarri dagoen ala ez eta atearen atzeko gailu bakoitzeko amaierako puntuak zein identitate ikusten duen zehazten du. Erregistratu bezeroa eta probatu zen amaierako puntu konfigurazioa. Sei hilabete geroago bezeroa aldatzeak isilean ken dezake diseinuak suposatutako gaitasuna.

Bideratu LANa tunelera eta itzuli

Bezero onartu bat tokian, gainerakoa ateko lan arrunta da. LAN gailuek VPC barrutirako Linux ostalarira seinalatzen duen ibilbidea behar dute, eta ostalariak birbidalketa gaituta behar du. VPCk trafikoa konektatutako bezero gisa ikus dezan nahi baduzu, eta ez LAN helbide arbitrario gisa, itzuli iturria irteeran.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Mugatu araua tunel interfazera eta VPC barrutira, goian bezala, ostalariak birbidaltzen duen guztia masquerade egin beharrean. Arau estuagoa errazagoa da pentsatzeko, eta ez die isilean aldatzen jatorrizko iturburu helbidea mantendu behar zuen trafikoari.

Egin LAN ibilbidea automatikoki iristen bada posible bada: DHCP aukera bat, router iragarki bat edo LANa kudeatzen duenak bultzatutako ibilbide estatikoa. Probako makina bakarrean soilik existitzen den ibilbide batek diseinua hautsita ikusaraziko du norbait beste batek probatzen duen unean.

Erantzunak ere bidea behar du

Eskaera VPCra iritsitakoan, erantzunak itzulpen egoera beretatik itzuli behar du eta atean LAN ibilbidea aurkitu. Zati hori normalean funtzionatzen du masquerade araua tokian dagoenean, mapaketa egin zuen ostalarian bizi delako. Hausten da VPC aldean erantzuna beste norabait bidaltzen duen ibilbide bat dagoenean, eta horregatik dira garrantzitsuak bai bezeroaren CIDR ibilbidea bai amaierako puntuko azpisare elkarketa.

Begira ezazu kontagailuei, ez soilik pingari. Zero paketeko masquerade arauak esaten dizu eskaerak ez zuela inoiz tunel interfazea ukitu, eta horrek LAN ibilbidera edo bezeroaren beraren bideratze taulara seinalatzen du. Paketeak baina erantzunik ez dituen arauak VPC aldera, baimen arauetara edo itzulitako iturria onartzen ez duen segurtasun talde batera seinalatzen du. Irakurri bi norabideak ezer aldatu aurretik, alde bakarrean soilik hazten den kontagailu bat bide norabide bakarrekoa delako, ez motela.

Gogoratu amaierako puntua kudeatutako zerbitzu bat dela. Ez dago editatzeko zerbitzari konfigurazio fitxategirik eta ez dago gehitzeko client-config direktibarik, beraz bezeroaren azpisare ibilbide propioak dituen OpenVPN zerbitzari autokudeatu baterako idatzitako argibideak ez dira transferitzen. AWSn palankak azpisare elkarketa, baimen arauak eta VPCren bideratze taulak dira.

Identitate partekatua da politikak erantzun behar duen zatia

Atearen atzeko gailu bakoitzak atearen VPN saioa erabiltzen du. Amaierako puntuaren baimen arauek erabiltzaile edo talde bati sarbidea ematen diote, eta zerbitzuaren ikuspegitik saio horretan erabiltzaile bakarra dago. Tokiko birbidalketak ez du identitate hori gailuko autentifikazio bihurtzen, eta ez ditu gailuen postura egiaztapenak izkinako inprimagailura arte hedatzen.

Hori onargarria izan daiteke, edo diseinua baztertzeko arrazoia izan daiteke. VPC baliabideek deitzaileari buruz zer suposatzen duten araberakoa da. Baimen eredura egokitzen den identitate partekatua ondo dago; autentifikatutako saio bakarra LAN osoko sarbide bihurtzen duen isilak idatziko den aurkikuntza bat da.

Baldintza gune oso bat VPC batera konektatzea bada, alderatu onartutako gune-arteko diseinu bat urruneko sarbide bezeroa hedatu aurretik. Semantika ezberdina da, eta NAT duen bezero saioa gune estekak ordezkatzeko pobre da VPCk LANera konexioak hasi behar dituenean.

Erabaki bezeroa, ibilbidea, itzulpena eta identitate istorioa ordena horretan. Bakoitzak hurrengoa mugatzen du, eta ordenak azaltzen du zergatik funtzionatzen duen ostalariak eta LANak ez.