Folsleine tunnel fan Access Server op EC2: wêrom ien kontrôlefak net genôch is

It útskeakeljen fan ’e boarne- en bestimmingskontrôle op ’e EC2-ynstânsje is it meast werhelle antwurd op fragen oer de ynternetútgong fan Access Server, en op himsels docht it neat foar jo klanten. De kontrôle is in AWS-beheining foar trochstjoeren: it makket dat de ynstânsje pakketten akseptearret wêrfan de boarne of bestimming net syn eigen adres is. It seit de Access Server-klant net dat er ynternetferkear troch de tunnel stjoere moat, it makket gjin rûte omheech en it foeget gjin NAT ta. De myte is dat it kontrôlefak de funksje is.

Wat de kontrôle eins regelet

Elke EC2-netwurkynterface smyt ferkear fuort dat net oan him adressearre is, útsein as de ynstânsje as router, NAT-apparaat of VPN-poarte wurket en jo dy kontrôle útskeakelje. It útskeakeljen jout tastimming om troch te stjoeren. Tastimming is gjin konfiguraasje: de ynstânsje hat noch altyd in rûte nei in ynternetpoarte of NAT-apparaat nedich, de rûtetabel fan de VPC hat noch altyd de byhearrende yngong nedich, feiligensgroepen moatte de stream noch altyd tastean, en de tsjinner moat it weromferkear noch altyd oersette of routearje.

Kontrolearje de hjoeddeiske wearde mei aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck foardat jo wat feroarje. Feroarje jo it yn ’e konsole, feroarje it dan om’t de ynstânsje foar oaren trochstjoert, net om’t in klant it ynternet net berikt.

Access Server is eigner fan it routearringsbelied fan de klant

Iepenje yn Access Server 3 Access Controls en fyn de seksje Internet Access and DNS. De kar Internet Gateway biedt folsleine tunnel of splitst tunnel; folsleine tunnel seit de klant dat er syn standertferkear yn ’e VPN routearje moat, splitst tunnel lit it ynternetferkear op it lokale paad fan de klant. Bewarje en pas ta fia de wurkstream fan it produkt, en ferbyn dan op’e nij in testklant, want it belied wurdt levere op it momint fan ferbining.

Aldere ferzjes brûke oare menus en guon Community OpenVPN-builds hawwe gjin lykweardige kontrôle. Kontrolearje de ynstallearre haadferzje foardat jo in skerm sykje dat net bestiet. Befêstigje dan wat de klant krige: in profyl foar folsleine tunnel heart in standertrûte troch de tunnel te ynstallearjen, en in profyl foar splitst tunnel heart dat net te dwaan.

Folgje it pakket nei de tunnel

As de klant ienris ynternetferkear de tunnel yn stjoerd hat, moat de tsjinner it trochstjoere en meastentiids oersette. Access Server beheart syn eigen NAT- en routearringsregels, lês dus de effektive konfiguraasje yn plak fan Community OpenVPN-regels ta te foegjen oan generearre bestannen; net-behearde regels wurde oerskreaun of komme yn konflikt by de folgjende produktbywurking. sudo iptables -t nat -L -n -v of it nftables-ekwylint lit sjen wat der eins oerset wurdt.

De AWS-kant is in apart paad. In ynstânsje yn in iepenbier subnet berikt in ynternetpoarte streekrjocht en hâldt syn iepenbiere adres of elastyske IP. In ynstânsje yn in privee subnet hat in rûte nei in NAT-poarte of NAT-ynstânsje nedich, en it NAT-apparaat hat syn eigen rûte nei de ynternetpoarte nedich. It keppeljen fan in ynternetpoarte oan de VPC jout op himsels gjin privee boarne in iepenbier weromadres, en dêrom wurket deselde Access Server-opsetsje yn it iene subnet en mislearret stil yn it oare.

Kontrolearje de rûtetabel dy’t ferbûn is mei it subnet fan de ynstânsje, net allinnich de haadtabel fan de VPC. Subnetferbiningen oerhearskje de haadtabel, en in ferâldere ferbining is in faak foarkommende reden dat in wurkjende konfiguraasje nei in weropbou stopt.

Hâld IP-útgong en DNS apart

Test earst in adresliteraal en dan in namme, fan’e itselde klantapplikaasje. As curl -4 https://checkip.amazonaws.com in iepenbier adres weromjout mar hostnammen mislearje, wurkje de tunnel en it NAT-paad en is it probleem DNS: de trochstjoerde resolver, de resolverstân fan de klant, of in feiligensgroep dy’t de resolver blokkearret. De DNS-ynstellingen fan Access Server steane yn itselde Internet Access-gebiet, mar se reizgje in oar kodepaad.

Fergelykje it weromjûne adres mei de útgong dy’t jo bedoelden. Is it it iepenbiere adres fan de ynstânsje, dan wurdt it ferkear troch de ynstânsje oerset; is it in adres fan in NAT-poarte, dan wurdt it paad fan it privee subnet brûkt. Beide kinne goed wêze. Wat jo net konkludearje kinne, is dat in browser op de tsjinner de trochstjoering foar de klant bewiist.

Lit ien kontrôlefak it ûndersyk net slute

IPv6 is in aparte beslissing. In belied foar folsleine tunnel foar IPv4 seit neat oer oft IPv6 droegen, blokkearre of lekt wurdt, en in klant mei twa steapels kin syn lokale IPv6-paad blyue brûken wylst IPv4 troch de tunnel giet. Test de adresfamylje dy’t jo echt oanbelanget, en beslute eksplisyt oft de oare útskeakele wurde moat.

Test op ’t lêst de loskeppele steat. In kar foar folsleine tunnel beskriuwt it routearringsbelied wylst jo ferbûn binne, net wat der bart as de tunnel falt. Is de eask dat gjin ferkear bûten de VPN ûntkomt, dan is dat in fraach fan kill-switch en fjoermuorre, en dy hat syn eigen test nedich yn plak fan in konklúzje út de rûtetabel.