AWS Client VPN edo bastioia peering VPC batera iristeko
Bi bidek funtzionatzen dute, baina leku desberdinetan hausten dira. Konpara itzazu endpoint bideak, itzulera bideratzea eta bastioia muga zintzoa den hiru kasuak.
Client VPN endpoint batek bere VPC elkartuarekin peering duen VPC batera irits daiteke, eta ez duzu bastioirik behar hori legitimoa izateko. Egitea merezi duen hautua trafikoak eskuak non aldatzen dituen da: endpoint bide bat asociazio azpisarean lurreratzen dena eta peering konexioa zeharkatzen duena, edo peering duen VPCko host batek saioa amaitzen duena. Bi bideek funtzionatzen dute eta leku desberdinetan huts egiten dute, beraz erabakia jabetzari eta auditoretzari buruzkoa da, ez AWSk zer baimentzen duen. Hona hemen nola aukeratzen dudan bien artean, eta bide bideratua funtziona dezan lau sarrerak.
Bi bide, endpoint bat, jabe desberdinak
Bide bideratuan bezeroaren trafikoak endpoint-era iristen da, asociazio azpisareko Client VPN sare interfazearen helbidera itzultzen da eta azpisare hori uzten du A-tik B-ra peering konexioaren bidez. VPC Bk ez du VPN saiorik amaitzen; VPC Atik trafiko arrunta ikusten du, horregatik bere itzulera bidea VPC Ara seinalatzen du, ez bezeroen multzora.
Bastioi bidean bezeroa lehenengo host batera iristen da. A-n dagoen bastioiak azken jauzia peering konexioaren bidez igarotzen uzten du oraindik, beraz peering lana mantentzen duzu eta saio bat gehitzen. B-ko bastioiak ere bezeroaren bidea behar du, eta bide hori endpoint bide bera denean, diseinu bideratua gehi jauzi bat duzu. Bastioiak lana kentzen du soilik jada existitzen denean, jada onarpena duenean, eta haren atzeko gauzak sare muga bat baino saio muga bat behar duenean.
Lau sarrerek bide bideratua funtzionarazten dute
AWSek eszenario hau Client VPN how-it-works orrian dokumentatzen du, eta praktikan bi edo hiru talderen jabetzako lau sarrerekin geratzen da. Barrutiak ilustratiboak dira; peering barrutiak bakarra izan behar du eta itzulera barrutiak zure planarekin bat etorri behar du.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Bidea eta baimena kontrol bereiziak dira. Endpoint bide zuzena autorizazio arau egokirik gabe bezeroari ezer ez dio ematen; endpointak bideratu ezin duen helmuga baterako autorizazio arauak zulo beltz bat ematen dio. Biek barruti bera izendatu behar dute.
Endpoint bideak endpointaren beraren VPCko azpisare bat seinalatzen du, inoiz ez peering konexioa. VPC bide taulek peering konexioa seinalatzen dute, inoiz ez instantzia edo interfaze bat. Bien artean balio bat kopiatzeak kexarik gabe gordetzen da eta ez du ezer bideratzen.
Asociazio azpisareak bezeroaren jatorria itzultzen duelako, Bk VPC Ara bideratu behar du atzera, ez bezeroen multzora. Bezero barrutia peering konexioaren bidez bidaltzea simetrikoa dirudi, berrikuspena pasatzen du eta isilka huts egiten du, Bk inoiz ez baitu bezero jatorria duen paketerik ikusten.
Segurtasun taldeak eta baimenaren azken metroa
Bideratzeak paketeak B-ra sartzen ditu; Bk oraindik erabakitzen du. Eskualde bereko peering konexio aktibo baterako, B-ko segurtasun talde batek Client VPN asociazioari aplikatutako taldea erreferentzia dezake, araua estu mantenduz eta helbide aldaketei eutsiz. Talde erreferentzia bideragarria ez den lekuan, baimendu asociazio azpisareko barrutia espresuki 0.0.0.0/0-ra zabaldu beharrean, honek bideratze errore bat azalpenik gabeko itxarote denbora bihurtzen baitu.
Ondoren egiaztatu bideratzeak inoiz ukitzen ez duena: bi azpisareetako sare ACLak, aplikazioaren baimenduen zerrenda edo tokenaren audientzia, eta DNS. Peeringek ez ditu eremu pribatu ostatatuak kopiatzen, beraz eramangarriak ebatzi ezin duen helbide baterako bide funtzionala izan dezake, eta peering konexioak ez dio ziurtagiriari konfiantzarik gehitzen. Seinalatu endpointa B-ra erantzuten duen ebazle batera, eta gero egiaztatu izen pribatuak eta ziurtagiriak bat egiten dutela.
Bastioia erantzun zintzoa denean
Hiru abiarazle gordetzen ditut bastioia nahita aukeratzeko. Peering duen VPCa zure barrutirako itzulera biderik gehituko ez duen edo talde erreferentziarik onartuko ez duen talde batena da. Sarbidea saio bakoitzeko onartu edo erregistratu behar da eta aplikazioak ezin du hori bere gain eraman. Edo azken jauziak B barruan egon behar du, zerbitzuak han bakarrik ebazten duelako eta bere TLS identitatea barne izen bati finkatuta dagoelako.
Horietako ezerk ez du peering ez-transitiboa izatearen inguruko saihesbide bat. Ez-transitibitateak mugatzen du B-ko baliabideek zer egin dezaketen: ezin dute A erabili hirugarren VPC baterako transit gisa, A harekin peering baitu. Inoiz ez zuen esan nahi VPN erabiltzaile batek ezin duenik zuzenean peering duen VPC batera iritsi, eta irakurketa oker hori saihesteko eraikitako bastioia arrazoirik gabe adabakitzeko host bat da.
Alderantzizko erroreak gehiago balio du denboran: pasa talde bakoitza jada existitzen den bastioi bakarrean zehar, eta gero deskubritu haren segurtasun taldea, bide taula eta adabaki leihoa produkzio mendekotasuna direla. Idatzi hostak zein abiarazle zerbitzatzen duen, eta erretiratu abiarazlea desagertzen denean.
Transit Gateway eta hainbat asociaziok aritmetika aldatzen dute
Endpointa azpisare bati beharrean Transit Gateway bati zuzenean lotuta badago, eredua aldatzen da: bezeroak ez dira jada asociazio azpisareko interfaze helbide batera itzultzen, eta gateway bide taulek bezero barrutia gehi peering duen VPCra daraman lotura eraman behar dute. Hori garbiagoa da eskalan, baina lana lau sarreretatik gateway bide tauletara mugitzen da.
Hainbat asociaziok egiaztapenak biderkatzen dituzte. Endpoint bidea endpointarena da, baina asociazio azpisare bakoitzak peering hurrengo jauzi erreala duen bide taula bat behar du. Saio bat asociazio batetik ondo joan daiteke, besteak itzulera biderik ez duen bitartean, beraz probatu bakoitza.
Hutsa azkar aurkitzen duen egiaztatze ordena
Exekutatu hauek ordenan; urrats bakoitzak pasa dezake hurrengoak huts egiten duen bitartean, eta bezeroaren itxarote denborak ia inoiz ez du esaten zein hautsi zen.
- Ebatzi aplikazioaren izena bezerotik eta egiaztatu helbidea peering barrutiaren barruan dagoela.
- Konektatu, eta gero irakurri endpoint konexioen erregistroa saioa amaitu zuen asociazioarentzat.
- Asociazio azpisare horretan, egiaztatu bide taulak peering barrutia peering konexio aktibo batera seinalatzen duela.
- B-ko baliabide azpisarean, egiaztatu interfaze barrutiaren itzulera sarrera eta bat datozen talde arauak.
- Probatu baimendutako eragiketa bat eta iritsiezina izan behar duen baliabide bat; bigarrenak arazketa hondarrak harrapatzen ditu.
- Birkonektatu split-tunnel bide aldaketaren ondoren, martxan dagoen tunel batek ez baitu bide multzo berririk hartuko.
Bi sintoma merezi du gogoratzea. B-ra erantzunik gabe iristen den SYN bat ia beti falta den itzulera bidea da. Osatzen eta gero berrezartzen den konexioa normalean taldea, ACLa edo aplikazioa da. Bat ere ez da endpoint erregistroan agertzen kausa gisa, beraz gorde lau sarrerak bakoitzaren ondoan jabe bat duelarik.
Hiru abiarazleetako bat ere betetzen ez bada, amaitu bide bideratua eta erregistratu lau sarrera horiek. Bat betetzen bada, mantendu bastioia muga horretarako soilik eta utzi endpoint bidea aurretik saioa behar ez duten zerbitzuentzat.