Mitä lähde-IP:tä AWS:n NAT-yhdyskäytävä käyttää VPN:ää kohti?

Avaat VPC-konsolin, koska kumppani kysyi, mikä lähdeverkko saapuu site-to-site-VPN:n yli. NAT-yhdyskäytävät-sivu näyttää julkisen yhdyskäytävän, johon on liitetty Elastic IP, ja houkutus on lähettää tuo osoite ja jatkaa matkaa. Se on oikea vastaus internet-polulle ja väärä vastaus VPN-polulle, ja ero on siinä, mihin yhdyskäytävään reititystaulu osoittaa. Käy reitti läpi ennen kuin kirjoitat allowlistin.

Aloita NAT-yhdyskäytävät-sivulta, älä allowlistista

NAT-yhdyskäytävät-sivu kertoo aliverkon, tyypin ja Elastic IP:n, ja nämä kolme kenttää riittävät alkuun. Se, mitä se ei kerro, on polku, jonka liikenne kulkee sen jälkeen. Se tulee reititystauluista, jotka on liitetty NAT-yhdyskäytävän aliverkkoon.

Lue ensin tyyppi, sillä julkinen tai yksityinen ratkaisee, ilmestyykö ketjuun myöhemmin internet-yhdyskäytävä. Lue sitten aliverkko, sillä siellä toinen reitti sijaitsee.

Seuraa kahta käännöstä

Sekä julkiset että yksityiset NAT-yhdyskäytävät kääntävät työkuorman yksityisen IPv4-lähteen NAT-yhdyskäytävän omaksi yksityiseksi IPv4-osoitteeksi. Tämä ensimmäinen käännös tapahtuu tyypistä riippumatta. Toinen käännös on se, jonka ihmiset unohtavat: julkinen NAT-yhdyskäytävä luovuttaa liikenteen internet-yhdyskäytävälle, joka kuvaa osoitteen liitettyyn Elastic IP:hen.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Yksityisellä polulla ketjussa ei ole internet-yhdyskäytävää. Kun liikenne lähtee siirtoyhdyskäytävän tai virtuaalisen yksityisen yhdyskäytävän kautta, NAT-yhdyskäytävien opas dokumentoi NAT-yhdyskäytävän yksityisen osoitteen lähteenä, jonka etäpuoli vastaanottaa. Juuri tämän osoitteen kumppanin pitäisi sallia, ei Elastic IP:tä.

VPN-polut näyttävät yleensä yksityisen osoitteen

Työkuormalle verkossa 10.20.1.0/24, joka saavuttaa kumppanin etuliitteen, työkuorman aliverkon reititystaulu osoittaa NAT-yhdyskäytävään ja NAT-yhdyskäytävän aliverkon reititystaulu yksityisen yhdyskäytävän polkuun. Molemmat hypyt merkitsevät, ja vain toinen ratkaisee, mitä kumppani näkee. Jos NAT-aliverkolla ei ole reittiä VPN-polulle, paketti ei koskaan saavu, ja se on eri vika kuin väärä lähdeosoite.

Varmista tuo toinen reitti ennen kuin puhut osoitteista lainkaan. Puuttuva reitti ja väärin ilmoitettu lähde näyttävät kumppanille, joka ei yksinkertaisesti näe liikennettä, täsmälleen samalta.

Kun toinen käännös muuttaa vastausta

AWS tarjoaa myös eksplisiittisen, vastaavan yksi-yhteen-NAT-kartoituksen siirtoyhdyskäytävän liitännässä. Tämä kartoitus voi kääntää lähteen vielä kerran ennen kuin etäpalvelu näkee sen, eikä se ole oletuskäyttäytyminen, joka vain reitittää. Koska se on määritettävä tarkoituksella, kohtele sitä suunnittelun poikkeuksena äläkä jonakin, jonka perit vahingossa. Jos kukaan tiimissäsi ei muista kytkeneensä sitä päälle, oleta, ettei sitä ole, kunnes olet lukenut liitännän.

Jos suunnitelmasi käyttää sitä, allowlistin on kuvattava lopullinen kartoitus eikä NAT-yhdyskäytävän osoite. Sama varovaisuus koskee saatavuuspolkuja: kun useat yhdyskäytäväosoitteet osallistuvat, odotettu lähdejoukko on yhdiste, ei yksi edustava osoite. Kirjoita muistiin, mihin käännökseen kukin osoite kuuluu, sillä lista ilman alkuperää on mahdotonta auditoida myöhemmin.

Yksityiselle NAT-yhdyskäytävälle ei voi antaa internet-palvelua osoittamalla sitä internet-yhdyskäytävään; AWS dokumentoi, että tällainen liikenne hylätään. Valitse tyyppi koko polusta, älä vaatimuksen VPN-sanasta.

Kirjoita sopimus, jonka pohjalta kumppanisi voi toimia

Käyttökelpoisessa sopimuksessa on neljä osaa: suunta, josta virrat käynnistetään, kumppanin näkemä käännetty identiteetti, paluureitti sille identiteetille ja sovellettava suojan laajuus. NAT-yhdyskäytävän virrat käynnistetään tuetulta lähdepuolelta, joten kyse ei ole saapuvan portin edelleenlähetyspalvelusta yksityisen työkuorman paljastamiseen. Sen sanominen ääneen varhain estää suunnittelukatsauksen, jossa kumpikin osapuoli oletti toisen käynnistäneen.

Käännös ostaa helpotusta osoitteiden päällekkäisyyteen ja ennustettavan lähdepolitiikan, ja se maksaa sinulle yksittäisen työkuorman identiteetin kumppanin lokeissa. Jos auditointi tarvitsee kohdistuksen työkuormakohtaisesti, pidä se identiteetti sovelluskerroksessa sen sijaan, että yrittäisit palauttaa sen käännetystä lähdeosoitteesta.

Tarkista sen jälkeen molemmat reititystaulut jokaisen muutoksen jälkeen, sillä uusi liitäntä tai uudelleen liitetty aliverkko kirjoittaa vastauksen hiljaa uudelleen.