AWS Client VPN tunel zatituarekin: zein ibilbide argitaratu

Kontsolak tunel zatituaren etengailua eskaintzen du, beraz erabakia kontrol-lauki bat ematen du. Ez da. Bezeroarengana benetan iristen dena amaierako puntuaren argitaratutako ibilbide multzoa da, eta zerrenda horrek erabakitzen du zein aurrizki pribatuk erabiltzen duten tunela, internet trafiko orokorra lokala den edo AWS bidez irteten den, eta zein ebazgailurekin hitz egin dezakeen oraindik bezeroak. Hiru galderak diseinua erabakitzen dute, eta bakoitzari gaizki erantzun dakioke konexioak oraindik lortzen duen bitartean.

Tunel zatituaren bandera ez da helburuen zerrenda bat

AWS-k tunel zatitua deskribatzen du amaierako puntuko ibilbideak bezeroaren ibilbide-taulari gehitze gisa konexioa ezartzean. VPC pribaturako ibilbide batek tunela helburu horretara mugatzen du; gainerako guztiak bezeroaren ohiko bidea jarraitzen du. Lehenetsitako ibilbidea beste argibide bat da, beste eragin batekin, eta horregatik tunel zatituaren dokumentazioak 0.0.0.0/0 modu honetarako konfiguratutako amaierako puntu batean argitaratzearen aurka ohartarazten du: konektibitatea hautsi ohi du, ez hedatu. Amaierako puntuaren ibilbide-taula da politika, eta bezeroaren ibilbide-taula da ikus dezakezun emaitza.

Irakurri amaierako puntuaren ibilbide-taula eta bezeroaren instalatutako ibilbideak elkarrekin. Etiketak asmoa deskribatzen du; ibilbideek zer gertatzen den deskribatzen dute.

Lehen erabakia: internet trafiko orokorra lokala izan behar da?

Nabigazioak erabiltzailearen beraren konexioa erabili behar badu, argitaratu lanak behar dituen helburu pribatuak soilik eta gelditu hor. Ez gehitu internet ibilbide bat tunel osoko tutorial batek bat jasotzen zuelako, eta ez pentsa ibilbide gehigarriak segurtasuna hobetzen duenik. Bidea aldatzen du, ez du politikarik gehitzen, eta normalean aurrekontuan sartu ez duzun latentzia kostatu ohi du.

Internet trafikoak AWS bidez irten behar badu, eraiki dokumentatutako internet sarbidearen arkitektura: amaierako puntuaren ibilbidea, baimen-arauak, erlazionatutako azpisarearen bidea, segurtasun-politika eta goiko irteera funtzional bat. Lehenetsitako ibilbideak bakarrik ez du horietako ezer ematen.

Bigarren erabakia: zein aurrizki pribatu, nork baimenduta?

Argitaratu benetako lan-karga zerbitzatzen duen helburu multzo txikiena, eta egiaztatu erlazionatutako azpisare bakoitzak haiengana bideratu dezakeela. Amaierako puntuaren ibilbide-helburua eta azpisarearen VPC bideratzea geruza desberdinak dira, eta batean dagoen ibilbidea ez da bestearen froga. Baimena berriz bereizia da: helburu bat irisgarria izan daiteke eta hala ere ukatu, bezeroaren taldeak hura baimentzen duen araurik ez duelako.

Saio arrakastatsu bakarra probatzeak bide bakarra frogatzen du. Egiaztatu erlazionatutako azpisare bakoitza, geroago gehitutako azpisare-elkarketa baita falta den ibilbidea egon ohi den tokia.

Helburu bat izenez irisgarria izan behar denean, kontuan hartu hurrengo galdera izenen ebazpena dela, ez ibilbidearena.

Hirugarren erabakia: zein ebazgailuk jarraitzen dio tunelari?

Bezeroak VPN bidez soilik irisgarria den DNS zerbitzari bat jaso dezake, eta ebazgailu horrek bakarrik funtzionatzen du bere helbidea baimendutako ibilbide baten barruan badago. Egiaztatu bi erdiak: ebazgailuaren helbideak argitaratutako ibilbide bat jarraitzen du, eta zerbitzariak aplikazioak eskatzen dituen izenei erantzuten die. Helbidearen arabera arrakasta duen baina ostalari-izenean huts egiten duen eskaerak izendapenari seinalatzen dio, ez bideratzeari, eta kasu horretan tunela arazteak arratsaldea alferrik galtzen du.

Izen publikoek konexioaren aurretik bezala ebatzi behar dute, eta hori beste arrazoi bat da argitaratzen duzunari buruz zehatza izateko.

Aldatu ibilbide multzoa, eta gero egiaztatu bi munduak

AWS-k dokumentatzen du tunel zatituko amaierako puntu batean ibilbideak aldatzeak bezeroen konexioak berrezartzen dituela. Planifikatu aldaketa hori kontuan hartuta: aplikatu, berriz konektatu onartutako bezeroaren bidez, eta irakurri instalatutako ibilbideak berriro, editatu aurretik aplikatutako egoeran fidatu beharrean. Aplikatutako egoera zaharkitua da aldaketa zuzena hautsita agertzeko arrazoi ohikoena.

Onartu diseinua baliabide pribatu batek eta helburu publiko batek nahi bezala jokatzen dutenean soilik, izenez eta helbidez, benetan onartzen dituzun helbide-familiekin. Autentifikatzen duen tunela ez da zuzen zatitzen duen tunela bezalakoa.

Idatzi ibilbideen zerrenda runbookean arrazoibidearen ondoan, hurrengo pertsonak nahitako kanporaketa bat ahaztutako batetik bereiz dezan.