Ze iturburu IP erabiltzen du AWS NAT gateway batek VPN baterantz?

VPC kontsola irekitzen duzu bazkide batek Site-to-Site VPN bidez zein iturburu-barruti iritsiko den galdetu duelako. NAT gateways orriak Elastic IP bat duen gateway publikoa erakusten du, eta tentazioa helbide hori bidali eta aurrera egitea da. Erantzun zuzena da internet bidearentzat eta erantzun okerra VPN bidearentzat, eta aldea da ibilbide-taula zein gateway-ri begira dagoen. Zeharkatu ibilbidea allowlist-a idatzi aurretik.

Hasi NAT gateways orritik, ez allowlist-etik

NAT gateways orriak azpisarea, mota eta Elastic IP esaten dizkizu, eta hiru eremu horiek nahikoak dira hasteko. Esaten ez duena da trafikoak geroago hartzen duen bidea. Hori NAT gateway-aren azpisareari lotutako ibilbide-tauletatik dator.

Irakurri mota lehenik, publikoak edo pribatuak katean geroago internet gateway bat agertuko den erabakiko baitu. Ondoren irakurri azpisarea, bigarren ibilbidea han bizi baita.

Jarraitu bi itzulpenak

NAT gateway publikoek zein pribatuek lan-kargaren IPv4 iturburu pribatua NAT gateway-aren beraren IPv4 helbide pribatura itzultzen dute. Lehen itzulpen hori motaren arabera gertatzen da. Bigarren itzulpena jendeak ahazten duena da: NAT gateway publiko batek trafikoa internet gateway-ari ematen dio, eta honek helbidea lotutako Elastic IP-ra mapatzen du.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Bide pribatuan ez dago internet gateway-rik katean. Trafikoak transit gateway edo gateway pribatu birtual batetik irteten denean, NAT gateways gidak NAT gateway-aren helbide pribatua dokumentatzen du urruneko aldeak jasotzen duen iturburu gisa. Bazkideak hori baimendu beharko luke, ez Elastic IPa.

VPN bideak helbide pribatua erakusten du normalean

10.20.1.0/24-n dagoen lan-karga batek bazkidearen aurrizki batera heltzen denean, lan-kargaren azpisarearen ibilbide-taulak NAT gateway-ari begiratzen dio, eta NAT gateway-aren azpisarearen ibilbide-taulak gateway pribatuaren bideari. Bi jauzi garrantzitsuak dira, eta bigarrenak soilik erabakitzen du zer ikusten duen bazkideak. NAT azpisareak VPN biderako ibilbiderik ez badu, paketea ez da inoiz iritsiko, eta hori iturburu helbide okerra ez bezalako hutsegitea da.

Egiaztatu bigarren ibilbide hori helbideez hitz egin aurretik. Falta den ibilbide bat eta gaizki jakinarazitako iturburu bat berdin-berdin ikusten zaizkio trafikorik ikusten ez duen bazkide bati.

Bigarren itzulpen batek erantzuna aldatzen duenean

AWSk NAT mapatze esplizitu bat ere eskaintzen du, bat-batekoa, transit gateway atxikimendu batean. Mapatze horrek iturburua berriro itzul dezake zerbitzu urrunak ikusi aurretik, eta ez da soilik bideratzen duen jokabide lehenetsia. Nahita konfiguratu behar denez, tratatu diseinuko salbuespen gisa eta ez ustekabean heredatzen duen zerbait gisa. Zure taldeko inork ez badu gogoratzen piztu zuenik, suposatu ez dagoela atxikimendua irakurri arte.

Zure diseinuak erabiltzen badu, allowlist-ak azken mapatzea deskribatu behar du, ez NAT gateway-aren helbidea. Arreta bera aplikatzen zaie erabilgarritasun bideei: gateway helbide anitzek parte hartzen dutenean, espero den iturburu-multzoa batasuna da, ez helbide ordezkari bakarra. Idatzi zein itzulpeneri dagokion helbide bakoitza, jatorririk gabeko zerrenda ezinezkoa baita geroago auditatzeko.

NAT gateway pribatu bati ezin zaio internet zerbitzurik eman internet gateway batera zuzenduta; AWSk dokumentatzen du halako trafikoa baztertu egiten dela. Aukeratu mota bide osoaren arabera, ez baldintzaren VPN hitzaren arabera.

Idatzi zure bazkideak jardun dezakeen kontratua

Kontratu erabilgarriak lau zati ditu: fluxuak abiatzen diren norabidea, bazkideak ikusiko duen identitate itzulia, identitate horren itzulerako ibilbidea eta aplikatzen den babes-eremua. NAT gateway-aren fluxuak onartutako iturburu aldetik abiatzen dira, beraz hau ez da sarrerako portu-birbidaltze zerbitzu bat lan-karga pribatu bat agertzeko. Hori goiz ozen esateak eragotzi egiten du alde bakoitzak bestea abiatzen ari zela uste zuen diseinu-berrikuspen bat.

Itzulpenak helbideen gainjartzearen arintasuna eta iturburu-politika aurreikusgarria erosten ditu, eta bazkidearen erregistroetan lan-kargaren identitate indibiduala kostatzen dizu. Auditoriak lan-kargako esleipena behar badu, mantendu identitate hori aplikazio geruzan, itzulitako iturburu helbide batetik berreskuratzen saiatu beharrean.

Ondoren egiaztatu berriro bi ibilbide-taulak edozein aldaketaren ondoren, atxikimendu berri batek edo berriz lotutako azpisare batek isilean berridazten baititu erantzuna.