VGW ala TGW? Non amaitzen da AWS Site-to-Site-ren IPsec tunela

Jendeak galdetzen du non uzten dion AWS Site-to-Site VPN batek paketea babesteari, eta erantzun bakarra espero du: atean. Erantzun horren bertsio erabilgarriak zein ate adierazten du, ate pribatu birtuala eta trantsitu-atea eranskin objektu desberdinak dituzten antolamendu desberdinak direlako, eta okerra suposatzen duen berrikusleak gainerako ebaluazioa existitzen ez den diagrama baten gainean eraikitzen du. Egin beheko hiru egiaztapenak ordenan. Bakoitzak muga baieztatzen du edo aurreko erantzuna beste baliabide bati buruzkoa zela esaten dizu.

Izenda itzazu hiru muturrak ezer ebaluatu aurretik

Bide honen zifratze-berrikuspenak hiru gauza izendatu behar ditu: bezeroaren atea, IPsec amaitzen duen AWS VPN helburua, eta barne-paketea jasotzen duen aplikazioaren muturra. Idatz itzazu haien baliabide-identifikatzaileekin kontsola-orri bakarra ireki aurretik, puntu honen ondoren guztia hiru horietako bati buruzko baieztapena baita.

Bezeroaren atea zurea da eta haren konfigurazioa zuretzat ikusgai dago. AWS helburua kudeatutako baliabidea da, eta akatsa hura suposatzea da: VPN konexio bat ate pribatu birtual batera edo zuzenean trantsitu-ate batera atxiki daiteke, eta batek ez du bestea inplikatzen. Hirugarren muturra jendeak saltatzen duena da, eta aplikazioaren datuei buruzko benetako galderari erantzuten dion bakarra.

1. egiaztapena: zein atek amaitzen du tunela benetan

Bi antolamenduak onartuta daude eta Site-to-Site VPNren arkitektura-gidak elkarren ondoan deskribatzen ditu, beraz galdetu APIari, sarritan urtebete duen diagrama baten ordez. Konexio baten gaineko irakurketa-soiliko kontsulta batek VPN helburuko eremuak itzultzen ditu:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Bereizlea TransitGatewayId da, ez VpnGatewayId. TransitGatewayId hutsik duen konexio bat ate pribatu birtual independente batean amaitzen da, eta eremu hori ezarrita duen konexioa, berriz, amaitzen da trantsitu-atearen VPN eranskinan, eta VpnGatewayId oraindik beteta egon daiteke kasu horretan, eranskinaren atea eusten duen atea izenda dezakeelako. Irakurri lehenengo TGW eremua, eta gero egiaztatu eranskin mota eranskinen zerrendatik, ez eremu-izenetik, trantsitu-ate horretako VPC eranskin bat ez baita VPN eranskina. VPC konektatu batean helmugako instantzia aurkitzeak ez dizu ezer esaten paketea zein VPN eranskin-ek eraman zuen.

Han zauden bitartean, egiaztatu tunelak. Konexioak bi IPsec tunel daramatza erredundantziarako, eta bigarren tunela inoiz altxatu ez duen konexio bat erabilgarritasunarentzako benetako aurkikuntza da, zifratze-mugan ezer aldatzen ez badu ere:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

2. egiaztapena: zer darama oraindik barne-paketeak

IPsec amaitutakoan, AWSk deskapsulatutako paketea bat zetorren ibilbidetik birbidaltzen du. Puntu horretatik aurrera trafikoa VPC trafiko arrunta da, eta VPNaren babesa amaitu da. Hori ez da zerbitzuko hutsune bat; hori da mugaren esanahia, eta zerrendako elementua hori garbi esatea da, "VPNa zifratuta dago" esaldiak "datuak muturretik muturrera zifratuta daude" ordezkatu dezan utzi beharrean.

Orain aztertu zer zegoen barruan. Barne-paketea testu hutseko aplikazio-protokoloa bada, beherago ezerk ez du konfidentzialtasunik gehitzen beste zerbait hura zifratu arte. Barne-paketeak TLS saio bat badarama jada, kanpoko IPsec kentzeak ez du ezer aldatzen saio horretarako: babestuta jarraitzen du bere muturreraino, mutur hori non dagoen ere.

Gainzuzentze ohikoa atetik haratago dena agerian dagoela ondorioztatzea da. Ez dago. Zerbitzuaren garraioa, biltegiratzearen zifratzea eta aplikazioaren TLS baldintza bereiziko mekanismo bereiziak dira, eta bakoitza bere baldintzen arabera ebaluatu behar da, VPNaren formaz ondorioztatu ordez. ACCEPT erakusten duen fluxu-erregistroko sarrera batek bideratzeak funtzionatu zuela frogatzen du eta konfidentzialtasunari buruz ezer ez dio, eta horixe da zerrenda honek saihesteko duen akatsa.

3. egiaztapena: atetik atzean zer amaitzen du TLSk

Jarraitu entzuleari, ez helbideari. Karga-orekatzaile batek edo proxy batek TLS amaitzen badu, zure bezeroak duen konexioa han amaitzen da, eta proxyak bigarren konexio bat irekitzen du atzeko alderantz, testu hutsa edo beste konfiantza-kate bateko TLS izan daitekeena. IP helbide pribatu bat eta bat datorren ibilbide bat ez dira bigarren konexio horren froga.

Probatu benetan axola zaizun muturra VPC barrualdetik, aplikazioak erabiltzen duen izenarekin, behin ebatzi zenuen IP batekin ordez:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Errepikatu hori eskaerak igarotzen duen jauzi bakoitzeko. Erantzuna bezeroari begira dagoen izenaren eta atzeko alderdiko izenaren artean desberdina bada, VPNak inoiz estali ez zuen segmentua aurkitu duzu zehazki, eta hori da idatzi beharreko aurkikuntza.

Erregistratu emaitza segmentu gisa, ez epai gisa

Zerrenda honen irteera taula txiki bat da, segmentuko errenkada batekin: bezeroaren atea AWS VPN helburura, atea lan-kargara, lan-karga datu-biltegira eta tartean edozein proxy jauzi. Errenkada bakoitzak zer babesten duen eta babes horrek zeren mende dagoen esaten du. "Zifratuta" mekanismorik eta muturrik gabe ez da errenkada bat.

Ondoren erantzun jatorrizko baldintzari planteatu zen termino berberetan. Baldintza datuak konfidentzialak izatea bada lan-kargak jaso arte, VPNak lehen segmentua soilik betetzen du, eta gainerako errenkadek aplikazioaren garraioa, zerbitzuaren TLSa edo biltegiratzearen zifratzea behar dute, bereiz konfiguratuta eta egiaztatuta.

Gorde konexio-identifikatzaileak, tunelen egoerak eta ziurtagirien subjektuak erregistroan. Norbait sei hilabete barru diseinura itzultzen denean, hiru artefaktu horiek mugako galderari minutu batzuetan erantzuten diote, eztabaida diagrama batetik berriro hastearen ordez.