EC2 entre zones de disponibilité : vérifiez le routage avant un VPN

Avant d'installer un logiciel VPN entre deux instances EC2, répondez à une question : sont-elles dans le même VPC ? Si oui, le chemin privé existe déjà et un placement entre zones n'y change rien. L'essentiel du travail consiste ici à confirmer quelle table de routage chaque sous-réseau utilise réellement, puis à déterminer si la panne était bien un problème de routage. Un tunnel est généralement la mauvaise réponse à cette question précise.

Vérification 1 : même VPC ou VPC différents

Un VPC est régional et couvre des zones de disponibilité, tandis que chaque sous-réseau appartient à exactement une zone. Deux instances situées dans des zones différentes d'un même VPC restent dans le même domaine de routage privé.

Des VPC différents n'obtiennent jamais une route privée du seul fait qu'ils partagent une région ou une étiquette de zone. Ce cas nécessite une connexion prise en charge et un travail propre sur les routes et les autorisations, ce qui est une décision distincte.

Vérification 2 : ce que disent les tables de routage des sous-réseaux

Écrivez la disposition avec de vraies valeurs. Un VPC à 10.60.0.0/16 avec les sous-réseaux 10.60.1.0/24 et 10.60.2.0/24 donne aux instances 10.60.1.10 et 10.60.2.20 un chemin par la route locale du VPC.

Inspectez ensuite les tables associées aux deux sous-réseaux, pas seulement celle que vous avez trouvée en premier. Une route d'inspection ou d'appliance plus spécifique peut remplacer la route de base, et la cible de la route locale peut elle-même être remplacée dans des configurations plus récentes. Une route locale visible quelque part dans la console ne prouve pas que les deux charges de travail l'utilisent.

Utilisez les adresses et les noms privés que le VPC attribue réellement. Une adresse privée n'a pas besoin de commencer par 10, et en inventer une de mémoire est la façon dont un environnement qui fonctionne est mal diagnostiqué.

Vérification 3 : routage ou autorisation

Le routage ne fait qu'acheminer le paquet jusqu'à l'interface réseau de la cible. Le groupe de sécurité de la cible doit encore admettre la source et le service, les règles de sortie de la source doivent autoriser la requête, et toute ACL réseau doit permettre les deux sens car les ACL sont sans état.

Au-delà se trouvent le pare-feu invité, la liaison de l'écouteur et l'identité propre de l'application. Chacun peut refuser une requête que le routage a parfaitement livrée.

L'acceptation doit être l'opération réelle de l'application. Un ping réussi ne donne pas accès à l'application et ne prouve pas qu'un nom TLS et des identifiants sont corrects, et un ping bloqué n'établit pas que tous les services privés sont hors service.

Vérification 4 : une connexion séparée est-elle vraiment nécessaire

Un VPN peut encore avoir sa place dans la conception, mais pour une raison énoncée : relier ce VPC à un bureau, admettre des ordinateurs portables ou répondre à une exigence de superposition. Cette raison diffère de la communication ordinaire au sein d'un même VPC.

Rappelez-vous aussi ce que le VPC n'est pas. Ce n'est pas une extension d'un segment Ethernet domestique. Une application qui dépend de la découverte par diffusion a une exigence distincte à évaluer. C'est une lacune de conception, pas un bogue de routage.

Vérification 5 : la question du chiffrement

Une adresse privée et une règle d'autorisation ne disent rien de la protection cryptographique au niveau applicatif. Si les données ont besoin d'une protection de bout en bout, elle vient du protocole et du modèle d'identité que le service prend réellement en charge.

Gardez séparées les affirmations sur la couche réseau et sur la couche applicative dans la note de conception, car les fusionner est la façon dont une revue finit par affirmer une protection que personne n'a mise en œuvre.

Ce qu'il faut consigner

Consignez les deux identifiants de sous-réseau, la table de routage associée à chacun, les références des groupes de sécurité et l'opération applicative que vous avez testée. Cela fait quatre faits, et ils règlent la plupart des discussions futures sur ce chemin.

Le placement dans une zone, à lui seul, ne vous dit jamais d'ajouter un VPN, et il n'explique jamais pourquoi une requête privée a échoué.