Zergatik ezin duen EC2-k zure AWS Client VPN ordenagailura iritsi
Client VPN-ek bezeroaren IPv4 iturburuak amaierako puntuaren interfazera itzultzen ditu. Horregatik funtzionatzen du erantzunak, eta EC2tik datorren konexio berriak ez.
AWS Client VPN bidez konektatutako ordenagailu batek EC2 aplikazio batera arazorik gabe iristen da. Gero kontrakoa probatzen duzu, EC2tik bezeroari esleitutako helbidera, eta konexioa blokeatu edo ukatzen da. Asimetria hori gutxitan da falta den segurtasun taldeko arau bat. VPC azpisareekin lotutako Client VPN amaierako puntu batean, AWS-k bezeroaren IPv4 iturburuak amaierako puntuaren sare interfazera itzultzen ditu, beraz ez dago zure ordenagailua ordezkatzen duen VPC sarrera helbiderik.
Hasi kapturak erakusten duenarekin
Egin kaptura bat EC2 ostalarian bezeroa konektatzen den bitartean, eta irakurri aplikazioak benetan ikusten duen iturburu helbidea. VPC aldeko amaierako puntuaren interfazea bada, eta ez bezeroen multzoko helbide bat, itzulpena baieztatuta dago arau bakarra aldatu aurretik ere.
Bezeroen multzoa esleipen tarte bat da, ez atzeraeran duen azpisare bat. Desberdintasun horretan egiten dute huts ikerketa horietako gehienek.
Asimetria azaltzen duen itzulpena
Hiru fluxu nahasten dira elkarrekin, eta horietako bat bakarrik da jendeak probatzen duena.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Client VPN osagaien deskribapenak argi adierazten du bezeroaren IPv4 iturburuak amaierako puntuaren interfazera itzultzen direla, eta hori nahikoa da erdiko errenkadak zerekin bat egin ez duela ikusteko.
Konexio berri batek ibilbide bat, helbidearen ebazpen pauso bat eta baimen erabaki bat behar ditu. Beste baten saioaren itzulpen egoerak ez du hiru horietako bat ere ematen.
Zergatik erantzun bat ez den konexio berri bat
TCP erantzun bat lehendik dagoen sarrera batekin bat egiten da, eta horregatik funtzionatzen du itzulera bideak sarrera araurik gabe. EC2 ostalariaren SYN berriak ez du bat egiteko sarrerarik, beraz irteerako ohiko saiakera bihurtzen da, VPC-k nola iritsi ez dakiokeen helmuga baterantz.
Horregatik ere engainagarria da hau norabide bakarrean doan trafiko gisa deskribatzea. Itzulera trafikoak etengabe isurtzen du saio hauetan. Biderik gabe dagoen zatia hasiera da.
Zer hausten du funtzionatu beharko lukeen saio bat
Segurtasun taldeek, sare ACLek eta ordenagailuaren beraren suebakiak garrantzia dute arrakastatsuak izan behar duten konexioetarako. Ping huts batek dio gutxien, ICMP politika maiz interesatzen zaizun TCP politikatik bereizia delako.
Idatzi arau horiek itzulitako iturburuaren arabera, ez bezeroaren helbidearen arabera. Sarean inoiz agertzen ez den helbidera lotutako arauak dira diseinu honetako autoeragindako hutsegite ohikoena.
VPC-k benetan elkarrizketa hasi behar duenean
Zerbitzu batek lan-estazio bati jakinarazi behar badio, irauli norabidea eta utzi bezeroari zerbitzuak erantzuten duen irteerako kanal iraunkorra mantentzen. Urruneko sare oso bat VPCtik iristeko modukoa izan behar bada, aukeratu bere aurrizkiak eta sarbide politika argitaratzen dituen arkitektura bat, Client VPN-ek dagoeneko egiten duela suposatu beharrean. Bezeroaren eta bezeroaren arteko sarbidea hirugarren kasu estuagoa da, bere ibilbide eta baimen objektuekin. Horietako bat ere ez da kontrol-lauki bat lehendik dagoen amaierako puntuan.
Eutsi ere IPv4 azalpenaren esparruari zintzo. Egungo AWS dokumentazioak IPv6 bereizten du, itzulpen hori aplikatzen ez den tokian, eta beste erantsitze-eredu batzuk, beste modu batean bideratzen dutenak.
Probatu hiru pauso etiketatuetan: bezeroak baimendutako saio bat irekitzen du, VPC zerbitzuak saio horri erantzuten dio, eta VPC ostalari batek bezeroarengana saio berri bat irekitzen du. Lehenengo biek asmatzea eta hirugarrenak huts egitea diseinu honen forma espero da, eta ez suebaki arauekin ehizatu beharreko akats bat.