AWS Client VPN mei split-tunnel: hokker rûtes jo publisearje moatte

De konsole biedt in skeakel foar split-tunnel, dus de beslissing fielt as in kontrôlefakje. Dat is it net. Wat de klient echt berikt, is de publisearre rûteset fan it einpunt, en dy list beslist hokker privee foarheaksels de tunnel brûke, oft algemien ynternetferkear lokaal bliuwt of fia AWS nei bûten giet, en mei hokker resolver de klient noch prate kin. Trije fragen beslisle it ûntwerp, en op elk kin min antwurde wurde wylst de ferbining dochs slagget.

In split-tunnelflag is gjin bestimmingslist

AWS beskriuwt split-tunnel as it tafoegjen fan einpunt-rûtes oan 'e rûtetabel fan 'e klient by it opbouwen fan 'e ferbining. In rûte foar de privee VPC beheint de tunnel ta dy bestimming; al it oare folget it gewoane paad fan 'e klient. In standertrûte is in oare ynstruksje mei in oar effekt, dêrom warskôget de dokumintaasje oer split-tunnel tsjin it publisearjen fan 0.0.0.0/0 op in einpunt dat foar dizze modus konfigurearre is: it brekt de ferbining meastentiids earder as dat it dy útwreidet. De rûtetabel fan it einpunt is it belied, en de rûtetabel fan 'e klient is it resultaat dat jo ynspektearje kinne.

Lês de rûtetabel fan it einpunt en de ynstallearre rûtes fan 'e klient tegearre. It label beskriuwt in bedoeling; de rûtes beskriuwe wat der bart.

Beslissing ien: moat algemien ynternetferkear lokaal bliuwe?

As browsen de eigen ferbining fan 'e brûker brûke moat, publisearje dan allinnich de privee bestimmingen dy't it wurk nedich hat en stop dêr. Foegje gjin ynternetrûte ta om't in hantlieding foar folsleine tunnel ien befette, en nim net oan dat de ekstra rûte de feiligens ferbetteret. It feroaret it paad, it foeget gjin belied ta, en it kostet meastentiids fertraging dy't jo net begrutte hiene.

As ynternetferkear fia AWS nei bûten moat, bou dan de dokumintearre arsjitektuer foar ynternetttagong: einpunt-rûte, autorisaasjeregels, it paad fan it keppele subnet, feilichheidsbelied en in wurkjende útgong nei boppen. In standertrûte allinnich leveret neat dêrfan.

Beslissing twa: hokker privee foarheaksels, autorisearre troch wa?

Publisearje de lytste set bestimmingen dy't de echte wurklêst tsjinnet, en kontrolearje oft elk keppele subnet dêrhinne rûte kin. It rûtendoel fan it einpunt en de VPC-rûtering fan it subnet binne ferskillende lagen, en in rûte dy't yn 'e iene bestiet is gjin bewiis oer de oare. Autorisaasje is wer apart: in bestimming kin berikber wêze en dochs wegere wurde om't de groep fan 'e klient gjin regel hat dy't it tastean.

It testen fan ien slagge sesje bewiist ien paad. Kontrolearje elk keppele subnet, want in subnetkeppeling dy't letter tafoege is, is krekt it plak dêr't de ûntbrekkende rûte meastentiids sit.

As in bestimming berikber wêze moat op namme, tink dan dat de folgjende fraach namme-oplossing is, net de rûtefraach.

Beslissing trije: hokker resolver folget de tunnel?

In klient kin in DNS-tsjinner krije dy't allinnich fia de VPN berikber is, en dy resolver wurket allinnich as syn adres sels yn in autorisearre rûte leit. Ferifiearje beide helten: it adres fan 'e resolver folget in publisearre rûte, en de tsjinner antwurdet op 'e nammen dêr't de applikaasje om freget. In fersyk dat op adres slagget wylst de hostnamme mislearret, wiist op nammejouwing, net op rûtering, en it debuggen fan 'e tunnel fergriist dan de middei.

Publike nammen moatte oplosse lykas foar de ferbining, wat noch in reden is om presys te wêzen oer wat jo publisearje.

Feroarje de rûteset, en ferifiearje dan beide wrâlden

AWS dokumintearret dat it feroarjen fan rûtes op in split-tunnel-einpunt de klientferbinings weromset. Plan de feroaring mei dat yn 't each: pas it ta, ferbyn op 'e nij fia de stipe klient, en lês de ynstallearre rûtes opnij ynstee fan te fertrouwen op 'e tastân dy't foar de bewurking tapast is. Ferâldere tapaste tastân is de meast foarkommende reden dat in korrekte feroaring brutsen liket.

Akseptearje it ûntwerp allinnich as ien privee boarne en ien publike bestimming beide dogge sa't bedoeld is, op namme en op adres, yn 'e adresfamyljes dy't jo echt stypje. In tunnel dy't autentisearret is net itselde as in tunnel dy't goed splitset.

Skriuw de rûtelist yn it runbook njonken de redenearring, sadat de folgjende persoan in opsetlike útsluting fan in ferjitten ien ûnderskiede kin.