Boarne/bestimming-kontrôle is ien poarte, net it hiele VPN-paad
In trochstjoerende ynstânsje hat AWS-tastimming nedich, en ek Linux-rûtes en firewallregels. Kontrolearje de boarne/bestimming-falidaasje op 'e ynstânsje dy't trochstjoert.
De VPN einiget op in EC2-ynstânsje, jo kinne it tunneladres fan dy ynstânsje berikke, en ferkear dat der trochhinne nei in oare privee host moast, ferdwynt. Dat binne twa ferskillende tests, en se trochinoar helje kostet oeren. De earste freget oft jo de ynstânsje berikke kinne; de twadde freget dat er ferkear trochstjoert foar in bestimming dy't net syn eigen is, wat Linux-trochstjoering, in firewallbelied, in rûte oan 'e oare kant en in AWS-tastimming nedich hat dy't neat mei it gastbestjoeringssysteem te krijen hat. Neat yn 'e konsole lûkt omtinken nei dat ferskil. It symptoom liket op in rûteflater, en dat is it meastentiids net.
Skied de twa tests foardat jo wat feroarje
It berikken fan 'e poarte bewiist de tunnel, de rûte nei syn adres en de feiligensgroep dy't de útwikseling tastiet. Trochstjoering foar in oare host bewiist dêr neat fan: it brûkt in oar boarneadres, in oare bestimming en in ynstânsje yn in rol dêr't er net needsaaklik foar boud is. Skriuw de twa tests apart op en notearje hokker mislearret, want de korreksje foar elk leit yn in oare konsole. In poarteynstânsje dy't allinnich boud is om tunnels te einigjen hat gjin reden om foar wat oars troch te stjoeren, en syn standertwearden wjerspegelje dat. Dêrom hat de twadde test syn eigen opset nedich, net in lytse oanpassing fan 'e earste.
In ping dy't nei de poarte wurket en in ping dy't nei de host dêrefter mislearret is gjin tuskentiidsk probleem. It is it ferwachte gedrach fan in ynstânsje dy't net sein is dat er trochstjoere mei.
Skriuw it paad op foardat jo in ynstelling oanreitsje
Notearje it kliïntprefiks, de trochstjoerende ynstânsje of netwurkynterface, it doelsubnet en de antwurd-rûte. In ynfier yn 'e VPC-rûtetabel dy't nei in ynstânsje wiist, konfigurearret it bestjoeringssysteem fan 'e ynstânsje net om troch te stjoeren, en in gastkearn mei trochstjoering oan sketten makket gjin VPC-rûte. Beide einen fan dy relaasje moatte bestean, en se wurde op ferskillende plakken bewurke troch minsken mei ferskillende tagong.
Undersykje dêrnei de ynstelling foar boarne/bestimming-kontrôle op 'e echte trochstjoerkomponint, net op elke ynstânsje yn 'e VPC. AWS dokumintearret wêrom't in ynstânsje dy't ferkear foar oaren trochstjoert dy kontrôle útskeakele hawwe moat, en ek wêrom't de ynstelling in beslút per ynstânsje is yn stee fan in standert foar de hiele VPC.
Fjouwer grinzen, en de kontrôle is mar ien fan har
Behannelje it paad as fjouwer fragen en beäntwurdzje se yn folchoarder. It earste antwurd dat mislearret is wêr't it wurk is, en gjin fan 'e oare sil dat kompensearje.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
De folchoarder is wichtich omdat kontrolearjen goedkeap is: rûtes binne op ien side te sjen, de kontrôle is ien attribút, en de miening fan 'e bestimming is meastentiids it lêste dêr't immen om freget.
Oersetting feroaret hokker boarne de bestimming sjocht
In rûtearre ûntwerp behâldt it boarneadres fan 'e kliïnt, dus de bestimming hat in weromrûte nei it kliïntprefiks nedich. In oerset ûntwerp presintearret ynstee it adres fan 'e poarte, wat dy eask fuorthellet en ferfangt troch in steattabel op 'e poarte. Beslis neffens de arsjitektuer dy't jo bedoele, yn stee fan oersetting ta te foegjen om't in net besibbe foarbyld it brûkte en it like te wurkjen.
As jo oersette, behein de regel ta it kliïntprefiks en de bedoelde bestimming. As jo behâlde, befêstigje dat de oare kant de rûte echt ken yn stee fan oan te nimmen dat er ien leart.
Test fan 'e oarspronklike kliïnt, en hâld de feroaring dan
In oanfraach dy't op 'e poarte makke wurdt kin slagje wylst in trochstjoerde oanfraach mislearret, om't it in oare boarne en in oar trochstjoergefal is. Nei in rjochte korreksje, werhelje de krekte kliïnt-nei-boarne-test dy't mislearre, fan deselde kliïnt, en befêstigje dat it antwurd weromkomt en net allinnich dat de oanfraach oankaam.
Set úteinlik de ynstelling yn 'e behearde konfiguraasje fan 'e poarte sadat in ferfangende ynstânsje dy krijt. In slagge test dy't fan in hânmjittige útsûndering ôfhinget is in test dy't by de folgjende werbou ferrint, en de persoan dy't him ûntduts sil der net wêze om te betinken wêrom.