Zergatik botatzen duen AWS Client VPN trafikoak bat datorren ibilbiderik gabe

Muturrak pakete bat soilik birbidaltzen du bere ibilbide-taula helmuga estaltzen duenean. Irakurri ibilbideak, deklaratu aurrizkiak for_each-ekin, egiaztatu itzulera-bidea.

Client VPN-ek helbide bat ematen dio bezeroari, eskuko keinuak amaitzen du, eta konexioak ez du inora eramaten. Ziurtagiriak edo bezeroaren bertsioak ukitu aurretik, begiratu muturraren beraren ibilbide-taula. AWS Client VPN mutur batek pakete bat soilik birbidaltzen du bere ibilbideetako batek helmugako aurrizkia estaltzen duenean; ezer bat ez badator, paketea muturrean baztertzen da eta helmugako ostalariak ez du sekula SYN bat ikusten.

Hau birbidaltze-erabakia da, ez autentifikazio-erabakia. Tunela altxatu ondoren eta baimen-arauak ebaluatu ondoren gertatzen da, horregatik ziurtagiri baliozkoa eta talde baliozkoa dituenak konexio hil bat sor dezake oraindik.

Muturrak bere ibilbide-taulak estaltzen duena soilik birbidaltzen du

Ibilbide bakoitza helmugako CIDR bat eta trafikoa jaso behar duen azpisarea da. Muturrak bezeroaren helmuga zerrenda horrekin alderatzen du, bat datorren sarrera aukeratzen du eta paketea lotutako azpisarera bidaltzen du. Sarrerarik ez esan nahi hurrengo jauzirik ez.

Kontuz zer ez den ibilbidea. Ez da VPC-ren ibilbide-taulako sarrera bat, eta ez du ezer baimentzen. Baimen-arauek erabakitzen dute talde batek helmuga bat har dezakeen; ibilbideek erabakitzen dute muturrak baduen paketea norengana bidali. Biek bat etorri behar dute, eta sintoma ezberdinekin huts egiten dute, beraz zein dagoen hondatuta asmatzeak arratsalde osoa alferrik galtzen du.

Desadostasun klasikoa peeratutako VPC bat da. Norbaitek 10.20.0.0/24-rentzako ibilbidea gehitzen du, ostalaria 10.20.4.0/24-n bizi den bitartean, beraz helbidea sarrera guztietatik kanpo geratzen da. Bezeroaren aldeko harrapaketak SYN errepikatuak erakusten ditu erantzunik gabe, eta helmugako erregistroek ez dute ezer erakusten.

Irakurri ibilbide-zerrenda ziurtagiria baino lehen

Muturraren ibilbideak objektu bereizia dira, beraz galdetu zuzenean VPC-ren taula irakurri ordez:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 --query 'Routes[].{Dest:DestinationCidr,Target:TargetSubnet,Origin:Origin}'

Hartu huts egiten duen bezeroaren helbide zehatza eta aurrizki-luzera, eta gero egiaztatu estaldura karakterez karaktere. Aurrizki luzeenaren bat-etortzea aplikatzen da, beraz ibilbide zabalago batek ez zaitu salbatzen estuago batek beste norabait seinalatzen duenean.

Helmuga bakoitzeko baliabide bat for_each-ekin

Eskuz idatzitako ibilbide-blokeak desbideratzen dira norbaitek kontsolako aurrizki bat gehitzen duen unetik. Eutsi helmugei mapa batean eta sortu baliabide bat gako bakoitzeko, gehikuntza edo ezabaketa bakoitza isolatuta mantentzeko.

variable "client_vpn_routes" {
  type = map(string)
  default = {
    "10.20.0.0/16"  = "subnet-0aa11bb22cc33dd44"
    "172.31.0.0/20" = "subnet-0aa11bb22cc33dd44"
  }
}

resource "aws_ec2_client_vpn_route" "this" {
  for_each               = var.client_vpn_routes
  client_vpn_endpoint_id = var.client_vpn_endpoint_id
  destination_cidr_block = each.key
  target_vpc_subnet_id   = each.value
  depends_on             = [aws_ec2_client_vpn_network_association.this]
}

Mantendu sare-elkartearekiko mendekotasuna. Ibilbide batek lotutako azpisare bat behar du, beraz biak sortzen dituen apply batek elkartea lehenengo ordenatu behar du, eta erreferentzia hori gabe Terraform aske dago ibilbidea lehenengo probatzeko. Ondoren irakurri plana: ibilbide-gehikuntzen kopuruak gehitu dituzun aurrizkiekin bat etorri behar du. Planak muturra ere ordezkatzen badu, muturreko baliabidea gaizki idatzita dago, eta hura aplikatzeak konektatutako bezero guztiak deskonektatzen ditu.

Sortu ez duzun mutur bat bereganatzea

Talde gehienek kontsolako eraikitako mutur bat heredatzen dute, horregatik ez dago ibilbide-koderik. Ez altxatu bigarren mutur bat ibilbideak Terraform-era eramateko soilik.

Horren ordez inportatu, edo pasa id-ak aldagai gisa eta utzi heredatutako objektuak kudeatu gabe. Inportazioak hornitzaileak baliabide-mota bakoitzeko dokumentatzen duen identifikatzaile-formatu behar du; hark muturra, helmugako aurrizkia eta azpisare objektiboa kodeatzen ditu. Kopiatu kate hori baliabidearen dokumentaziotik, ez osatu memoriatik, exekutatu plan bat, eta ez espero aldaketarik zerbait berria gehitu aurretik.

Jarraitu paketeari bidaiatzen duen ordenan

Ibilbidea badago eta konexioak oraindik huts egiten badu, ibili bidea ordenan goiko geruzan asmatu ordez.

  1. Ibilbidea: aurrizki batek helmuga estaltzen du eta muturrari lotutako azpisare batera seinalatzen du.
  2. Baimena: baimen-arau batek helmuga hori onartzen du erabiltzailearen taldearentzat. Ibilbide batek bakarrik ez du sekula sarbiderik ematen.
  3. Itzulera-bidea: helmugako azpisarearen ibilbide-taulak erantzunak muturrerantz bidaltzen ditu, eta segurtasun-taldeak bezeroaren helbide-pooltik portua onartzen du.
  4. Aplikazioa: ireki TCP konexio erreal bat bezerotik, eta gero egiaztatu helmugako erregistroek pooleko iturri-helbide espero dena erakusten dutela.

Aldatu aurrizki bat apply bakoitzeko, irakurri berriro ibilbide-zerrenda gero, eta idatzi elkarrekin helmuga, baimentzen duen araua eta itzulera-bidea. Ukatutako konexio bat arazten duen hurrengo pertsonak inbentario horretatik hasi behar luke, ez ziurtagiriei buruzko teori batetik.

Erlazionatutako artikuluak