Hokker boarne-IP brûkt in AWS NAT-gateway nei in VPN ta?

Jo iepenje de VPC-konsole om’t in partner frege hokker boarnerik oer de Site-to-Site VPN komme sil. De side NAT-gateways toant in iepenbiere gateway mei in keppele Elastic IP, en de ferlieding is om dat adres te stjoeren en fierder te gean. It is it goede antwurd foar it internetpaad en it ferkearde antwurd foar it VPN-paad, en it ferskil is nei hokker gateway de rûtetabel wiist. Rin de rûte nei foardat jo de allowlist skriuwe.

Begjin by de side NAT-gateways, net by de allowlist

De side NAT-gateways fertelt jo it subnet, it type en de Elastic IP, en dy trije fjilden binne genôch om te begjinnen. Wat it net fertelt, is it paad dat it ferkear dêrnei nimt. Dat komt út de rûtetabellen dy’t oan it subnet fan ’e NAT-gateway keppele binne.

Lês earst it type, want iepenbier of privee beslút oft der letter in internetgateway yn ’e keatling ferskynt. Lês dan it subnet, want dêr wennet de twadde rûte.

Folgje de twa oersettings

Sawol iepenbiere as privee NAT-gateways oersette de privee IPv4-boarne fan ’e wurklêst nei it eigen privee IPv4-adres fan ’e NAT-gateway. Dy earste oersetting bart los fan it type. De twadde oersetting is dy’t minsken ferjitte: in iepenbiere NAT-gateway jout it ferkear oan ’e internetgateway, dy’t it adres oan ’e keppele Elastic IP mappet.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Op it privee paad sit der gjin internetgateway yn ’e keatling. As ferkear fia in transitgateway of in firtuele privee gateway nei bûten giet, dokumintearret de NAT-gatewaygids it privee adres fan ’e NAT-gateway as de boarne dy’t de fiere kant ûntfangt. Dat is it adres dat de partner tastean moat, net de Elastic IP.

It VPN-paad toant meast it privee adres

Foar in wurklêst yn 10.20.1.0/24 dy’t in partnerprefiks berikt, wiist de rûtetabel fan it wurklêstsubnet nei de NAT-gateway, en de rûtetabel fan it NAT-gatewaysubnet wiist nei it paad fan ’e privee gateway. Beide sprongen binne wichtich, en allinne de twadde bepaalt wat de partner sjocht. As it NAT-subnet gjin rûte nei it VPN-paad hat, komt it pakket nea oan, en dat is in oare flater as in ferkeard boarreadres.

Kontrolearje dy twadde rûte foardat jo oeral oer adressen prate. In ûntbrekkende rûte en in ferkeard rapportearre boarne lykje itselde foar in partner dy’t gewoan gjin ferkear sjocht.

As in twadde oersetting it antwurd feroaret

AWS biedt ek in eksplisite, bypassende ien-op-ien NAT-mapping op in transitgateway-oanhing. Dy mapping kin de boarne nochris oersette foardat de fiere tsjinst him sjocht, en dat is net it standertgedrach dat allinnich rûtet. Om’t it bewust konfigurearre wurde moat, behannelje it as in ûntwerpeksepsje en net as eat dat jo by ûngelok ervje. As nimmen yn jo team him betinkt dat it oanset is, nim dan oan dat it ûntbrekt oant jo de oanhing lêzen hawwe.

As jo ûntwerp it brûkt, moat de allowlist de definitive mapping beskriuwe en net it adres fan ’e NAT-gateway. Deselde warberens jildt foar beskikberenspaden: as meardere gatewayadressen meidogge, is de ferwachte boarne-samling de feriening, net ien represintatyf adres. Skriuw op by hokker oersetting elk adres heart, want in list sûnder komôf is letter net te auditearjen.

In privee NAT-gateway kin gjin internetsjinst krije troch him op in internetgateway te rjochtsjen; AWS dokumintearret dat sok ferkear fuort smiten wurdt. Kies it type op grûn fan it folsleine paad, net op grûn fan it wurd VPN yn ’e eask.

Skriuw it kontrakt op dêr’t jo partner op hannelje kin

It brûkbere kontrakt hat fjouwer dielen: de rjochting dêr’t streams út begûn wurde, de oersetten identiteit dy’t de partner sjocht, de weromrûte foar dy identiteit en it beskermingsberik dat jildt. NAT-gatewaystreams wurde fan ’e stipe boarnekant út begûn, dus dit is gjin ynkommende poartefoarstjoertsjinst om in privee wurklêst bleat te lizzen. Dat betiid lûd sizze foarkomt in ûntwerpkontrôle wêrby’t elke kant oannaam dat de oare kant begûn wie.

Oersetting keapet ferljochting fan adresoerlaap en in foarsisber boarnebelied, en it kostet jo de yndividuele wurklêstidentiteit yn ’e logboeken fan ’e partner. As audit attribúsje per wurklêst nedich hat, hâld dy identiteit dan op ’e applikaasjelaach yn stee fan him út in oerset boarreadres werom te heljen.

Kontrolearje dêrnei beide rûtetabellen nei elke wiziging, want in nije oanhing of in opnij keppele subnet skriuwt it antwurd stil oer.