In EC2 Elastic IP is net it privee VPN-adres fan de ynstânsje

De ynstânsje hat in privee adres, de Elastic IP is dêroan keppele, en in rûte foar dat publike /32 wurdt tafoege oan it VPN yn 'e hope dat de twa itselde wurde. Dat wurde se net. In Elastic IP is in oersetting dy't bûten de gast útfierd wurdt, troch de ynternetpoarte, op ferkear dat it ynternetpaad nimt. It bestjoeringssysteem fan 'e gast sjocht dat adres nea op in ynterface konfigurearre. It tafoegjen oan in tunnelinterface reprodusearret de oersetting boppe net en makket in twadde, tsjinstridige identiteit foar deselde masine.

Twa adressen, ien ynstânsje

De netwurkynterface fan 'e ynstânsje hâldt in privee adres binnen de VPC, en dat is it adres dat de gast ken. De Elastic IP is oan deselde ynterface keppele mar libbet oan 'e publike kant fan 'e mapping.

Alles wat de ynstânsje fia it ynternet berikt, komt oerset nei it privee adres oan. Alles wat de ynstânsje nei it ynternet stjoert, giet fuort mei de Elastic IP as boarne, wer fanwegen dy oersetting.

Binnen de gast bestiet ien adres. Bûten besteane twa. Dy asymmetry ferklearret it measte fan 'e betizing op dit mêd. De gast kin net konfigurearje wat de poarte oerset. It kin allinnich antwurdzje op it adres dat it eins hat.

Wat de ynternetpoarte echt docht

De dokumintaasje fan AWS oer de ynternetpoarte beskriuwt de opstelling: de ynstânsje is bewust fan syn privee IPv4-adres, en de poarte leveret de oerienkommende oersetting nei publike IPv4 of Elastic IP foar ferkear op it ynternetpaad.

Dat is oersetting fan netwurkadressen, gjin alias. De mapping wurdt troch de poarte ûnderhâlden, is bûn oan 'e assosjaasje en jildt allinnich foar pakketten dy't der trochhinne geane. Helje de assosjaasje fuort en de publike identiteit ferdwynt sûnder dat de gast eat merkt.

Dêrom wurdt in privee VPN-pakket rjochte op it publike /32 net opnij ynterpretearre as in privee pakket nei it lokale adres fan 'e gast. It pakket folget de rûte dêr't it by past, dy't it nei de ynternetpoarte stjoert, en it gedrach fan 'e poarte hinget ôf fan oft it paad yn beide rjochtingen tastean is.

Wêrom't de trúk mei de tunnelinterface mislearret

It tawizen fan de Elastic IP oan in tunnelinterface freget de gast om in publike adres as lokaal te behanneljen. No easkje twa dingen itselde adres: de oersetting fan 'e poarte op it ynternetpaad en de lokale ynterface binnen de tunnel. Weromferkear hat gjin konsistint antwurd oer hokker jildt.

Sels as it liket te wurkjen, hat it ûntwerp de echte fraach ferburgen. Kliïnten berikke of it privee adres fia de tunnel of it publike einpunt fia it ynternet, en de twa paden hawwe ferskillende befeiligingsgroepen, ferskillende logging en ferskillende flatermodi.

It adres wie nea it probleem. De paadkar wie it.

Trije doelen, trije ûntwerpen

As it doel in publike VPN-einpunt is, is de Elastic IP it goede helpmiddel: fiere pearen ferbine har deroer fia it ynternet en it fersifere transport einiget op 'e ynstânsje. It ynterne applikaasjeferkear brûkt dan it privee adres.

As it doel privee tagong ta de applikaasje is, is it bestimmingsadres it privee adres of in privee DNS-namme dy't dêrhinne oplost, en de VPN-rûte, de befeiligingsgroep en it werompaad moatte allegear oerienkomme. De Elastic IP komt yn dat ûntwerp hielendal net foar.

As it doel in stabile publike útgongsidentiteit foar VPN-brûkers is, is dat in NAT-ûntwerp oan 'e útgongskant, net in adres op 'e tunnel fan 'e kliïnt. Trije doelen dy't itselde klinke leverje trije ferskillende diagrammen, en mar ien dêrfan betsjut it pleatsen fan in Elastic IP op in nij plak.

Kontrolearje it paad dat jo keazen hawwe

Kontrolearje foar privee tagong dat de VPN-rûte it privee prefiks beslacht, dat de rûtetabel fan 'e VPC ferkear weromstjoert nei de tunnel, dat de befeiligingsgroep de boarne fan 'e kliïnt tastiet en dat de eigen firewall fan 'e kliïnt it antwurd tastiet. Test dan ien echte oanfraach ynstee fan in ping.

Kontrolearje foar publike tagong de ynternetútgong fan 'e kliïnt, it rûtsjen fan 'e publike yngong en it befeiligingsbelied dêrfan. Oft in VPN-kliïnt in publike einpunt fia de tunnel berikke kin, hinget ôf fan 'e útgongs- en firewallregels fan 'e tunnel, net fan 'e assosjaasje mei de Elastic IP.

As in publike hostnamme fan beide kanten wurkje moat, brûk dan in DNS-ûntwerp dat antwurdet mei it privee adres foar VPN-kliïnten en it publike adres foar alle oaren, en hâld it sertifikaat jildich foar de namme ynstee fan it adres. Wurkfolchoarder: neam it doel, kies it adres dat dêroan heart, kontrolearje dan rûtes, belied en ien oanfraach.