Lähde/kohde-tarkistus on yksi portti, ei koko VPN-polku
Edelleenlähettävä instanssi tarvitsee AWS-luvan sekä Linux-reitit ja palomuurisäännöt. Tarkista lähde/kohde-validointi instanssista, joka välittää.
VPN päättyy EC2-instanssiin, pääset kyseisen instanssin tunneliosoitteeseen, ja liikenne, jonka piti kulkea sen kautta toiselle yksityiselle hostille, katoaa. Nämä ovat kaksi eri testiä, ja niiden sekoittaminen hukkaa tunteja. Ensimmäinen kysyy, pääsetkö instanssiin; toinen vaatii, että se välittää liikennettä kohteelle, joka ei ole sen oma, mikä vaatii Linuxin edelleenlähetyksen, palomuurikäytännön, reitin kaukana olevalla puolella ja AWS-tason luvan, jolla ei ole mitään tekemistä vieras käyttöjärjestelmän kanssa. Mikään konsolissa ei kiinnitä huomiota tähän eroon. Oire näyttää reititysvialta, eikä se yleensä ole sitä.
Erota kaksi testiä ennen kuin muutat mitään
Yhdyskäytävälle pääseminen todistaa tunnelin, reitin sen osoitteeseen ja tietoturvaryhmän, joka sallii vaihdon. Välitys toiselle hostille ei todista mitään tästä: se käyttää eri lähdeosoitetta, eri kohdetta ja instanssia roolissa, johon sitä ei välttämättä rakennettu. Kirjoita kaksi testiä erikseen ja merkitse, kumpi epäonnistuu, koska kummankin korjaus on eri konsolissa. Vain tunnelien päättämiseen rakennetulla yhdyskäytäväinstanssilla ei ole syytä välittää mitään muuta, ja sen oletusarvot heijastavat sitä. Siksi toinen testi tarvitsee oman asetuksensa eikä pientä säätöä ensimmäiseen.
Ping, joka toimii yhdyskäytävälle, ja ping, joka epäonnistuu sen takana olevalle hostille, ei ole ajoittainen ongelma. Se on odotettu käyttäytyminen instanssilta, jolle ei ole kerrottu, että se saa välittää.
Kirjoita polku muistiin ennen kuin kosket asetukseen
Kirjaa asiakkaan etuliite, välittävä instanssi tai verkkoliitäntä, kohde-aliverkko ja vastausreitti. VPC:n reititystaulun merkintä, joka osoittaa instanssiin, ei konfiguroi instanssin käyttöjärjestelmää välittämään, eikä välitys käytössä oleva vierasydin luo VPC-reittiä. Kyseisen suhteen molempien päiden on oltava olemassa, ja niitä muokataan eri paikoissa eri käyttöoikeuksin.
Tarkista sitten lähde/kohde-tarkistuksen asetus varsinaisesta välityskomponentista, ei jokaisesta VPC:n instanssista. AWS dokumentoi, miksi instanssin, joka välittää liikennettä muiden puolesta, on oltava tämä tarkistus poissa käytöstä, ja myös miksi asetus on instanssikohtainen päätös eikä koko VPC:n oletus.
Neljä rajaa, ja tarkistus on vain yksi niistä
Käsittele polkua neljänä kysymyksenä ja vastaa niihin järjestyksessä. Ensimmäinen epäonnistuva vastaus on se, missä työ on, eikä mikään muista korvaa sitä.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
Järjestys on tärkeä, koska tarkistaminen on halpaa: reitit näkyvät yhdellä sivulla, tarkistus on yksi attribuutti, ja kohteen mielipide on yleensä viimeinen asia, jota joku kysyy.
Käännös muuttaa sitä, minkä lähteen kohde näkee
Reititetty suunnittelu säilyttää asiakkaan lähdeosoitteen, joten kohde tarvitsee paluureitin asiakkaan etuliitteeseen. Käännetty suunnittelu esittää sen sijaan yhdyskäytävän osoitteen, mikä poistaa tämän vaatimuksen ja korvaa sen yhdyskäytävän tilataululla. Päätä sen arkkitehtuurin mukaan, jota aiot, äläkä lisää käännöstä siksi, että jokin asiaankuulumaton esimerkki käytti sitä ja näytti toimivan.
Jos käännät, rajaa sääntö asiakkaan etuliitteeseen ja aiottuun kohteeseen. Jos säilytät, varmista, että kaukana oleva puoli todella tuntee reitin sen sijaan, että oletat sen oppivan sellaisen.
Testaa alkuperäisestä asiakkaasta ja pidä sitten muutos
Yhdyskäytävällä luotu pyyntö voi onnistua, kun välitetty pyyntö epäonnistuu, koska se on eri lähde ja eri välitystapaus. Tehdyn korjauksen jälkeen toista täsmälleen se asiakas-resurssi-testi, joka epäonnistui, samasta asiakkaasta, ja varmista, että vastaus palaa eikä vain että pyyntö saapui perille.
Lopuksi aseta asetus yhdyskäytävän hallittuun kokoonpanoon, jotta korvaava instanssi saa sen. Onnistunut testi, joka riippuu manuaalisesta poikkeuksesta, on testi, joka vanhenee seuraavassa uudelleenrakennuksessa, eikä henkilö, joka sen löysi, ole paikalla muistamassa miksi.