Tollán iomlán Access Server ar EC2: cén fáth nach leor aon bhosca seiceála

Is é an tseiceáil fhoinse agus chinn scríbe a mhúchadh ar shuiteálú EC2 an freagra is mó a dhéantar a athrá ar cheisteanna faoi amach idirlín Access Server, agus ann féin ní dhéanann sé aon rud do do chliaint. Srian trasnaithe de chuid AWS is ea an tseiceáil: cuireann sé ar an suiteálú glacadh le paicéid nach é a sheoladh féin foinse ná ceann scríbe. Ní deir sé le cliant Access Server an trácht idirlín a sheoladh tríd an tollán, ní chruthaíonn sé bealach suas an tsrutha agus ní chuireann sé NAT leis. Is é an miotas gurb é an bosca seiceála an ghné féin.

Cad a rialaíonn an tseiceáil i ndáiríre

Caitheann gach comhéadan líonra EC2 trácht nach bhfuil dírithe air, mura bhfuil an suiteálú ag feidhmiú mar ródaire, mar ghléas NAT nó mar gheata VPN agus mura múchann tú an tseiceáil sin. Má mhúchann tú í tugtar cead trasnaithe. Ní cumraíocht é cead: tá bealach ag teastáil ón suiteálú fós chuig geata idirlín nó gléas NAT, tá an iontráil chomhfhreagrach ag teastáil ó thábla bealaigh an VPC fós, caithfidh grúpaí slándála an sreabhadh a cheadú fós, agus caithfidh an freastalaí an trácht fillte a aistriú nó a ródú fós.

Seiceáil an luach reatha le aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck sula n-athraíonn tú aon rud. Má athraíonn tú sa chonsól é, athraigh é mar gheall go ndéanann an suiteálú trasnú ar son dhaoine eile, ní mar gheall nach sroicheann cliant an t-idirlíon.

Is le Access Server polasaí ródaithe an chliaint

In Access Server 3, oscail Access Controls agus aimsigh an rannóg Internet Access and DNS. Tugann an rogha Internet Gateway tollán iomlán nó tollán scoilte; deir an tollán iomlán leis an gcliant a thrácht réamhshocraithe a ródú isteach sa VPN, fágann an tollán scoilte an trácht idirlín ar chosán áitiúil an chliaint. Sábháil agus cuir i bhfeidhm trí shreabhadh oibre an táirge, ansin athcheangail cliant tástála, mar déantar an polasaí a sheachadadh ag am an cheangail.

Úsáideann eisiúintí níos sine roghchláir dhifriúla agus níl aon rialú comhionann ag roinnt buildí Community de OpenVPN. Seiceáil an phríomhleagan suiteáilte sula lorgaíonn tú scáileán nach bhfuil ann. Ansin deimhnigh cad a fuair an cliant: ba cheart do phróifíl tolláin iomláin bealach réamhshocraithe a shuiteáil tríd an tollán, agus nár cheart do phróifíl tolláin scoilte é sin a dhéanamh.

Lean an paicéad tar éis an tolláin

Nuair a sheolann an cliant trácht idirlín isteach sa tollán, caithfidh an freastalaí é a thrasnú agus de ghnáth é a aistriú. Rialaíonn Access Server a rialacha NAT agus ródaithe féin, mar sin léigh an chumraíocht éifeachtach in ionad rialacha Community OpenVPN a chur le comhaid ghinte; scríobhtar thar rialacha neamhbhainistithe nó tagann siad salach ar a chéile ag an gcéad nuashonrú táirge eile. Taispeánann sudo iptables -t nat -L -n -v nó a chomhionann in nftables cad atá á aistriú i ndáiríre.

Cosán ar leith is ea taobh AWS. Sroicheann suiteálú i bhfoirlíon poiblí geata idirlín go díreach agus coimeádann sé a sheoladh poiblí nó a IP leaisteach. Tá bealach ag teastáil ó shuiteálú i bhfoirlíon príobháideach chuig geata NAT nó suiteálú NAT, agus tá a bhealach féin ag teastáil ón ngléas NAT chuig an ngeata idirlín. Ní thugann ceangal geata idirlín leis an VPC seoladh fillte poiblí d fhoinse phríobháideach ar bith ann féin, agus is ar an ábhar sin a oibríonn an chumraíocht chéanna Access Server i bhfoirlíon amháin agus a theipeann go ciúin i gceann eile.

Seiceáil an tábla bealaigh atá ceangailte le foirlíon an tsuiteála, ní hamháin príomhthábla an VPC. Sáraíonn cumainn fhoirlíon an príomhthábla, agus is cúis choitianta é cumann as dáta le go stopfadh cumraíocht a bhí ag obair tar éis atógála.

Coinnigh amach IP agus DNS scartha

Tástáil litir sheolta ar dtús, ansin ainm, ón bhfeidhmchlár cliaint céanna. Má thugann curl -4 https://checkip.amazonaws.com seoladh poiblí ar ais ach má theipeann ar ainmneacha óstaigh, oibríonn an tollán agus cosán NAT agus is é DNS an fhadhb: an réiteoir a brúdh, staid réiteora an chliaint, nó grúpa slándála a chuireann bac ar an réiteoir. Tá socruithe DNS Access Server sa réimse Internet Access céanna, ach téann siad ar chosán cóid dhifriúil.

Cuir an seoladh a tugadh ar ais i gcomparáid leis an amach a bhí beartaithe agat. Más é seoladh poiblí an tsuiteála é, is é an suiteálú a aistríonn an trácht; más seoladh geata NAT é, tá cosán na foirlíne príobháidí in úsáid. Is féidir leis an dá rud a bheith ceart. An rud nach féidir leat a thabhairt chun críche ná go gcruthaíonn brabhsálaí ar an bhfreastalaí trasnú don chliant.

Ná lig do bhosca amháin an t-imscrúdú a dhúnadh

Cinneadh ar leith is ea IPv6. Ní deir polasaí tolláin iomláin do IPv4 aon rud faoi cé acu a iompraítear, a chuirtear bac ar IPv6 nó a ligeann sé amach, agus is féidir le cliant dé-stac leanúint ar aghaidh ag úsáid a chosáin áitiúil IPv6 agus IPv4 sa tollán. Tástáil an teaghlach seoladh a bhfuil suim agat ann i ndáiríre, agus socraigh go sainráite ar cheart an ceann eile a dhíchumasú.

Ar deireadh, tástáil an staid dhícheangailte. Déanann rogha tolláin iomláin cur síos ar an bpolasaí ródaithe agus tú ceangailte, ní ar cad a tharlaíonn nuair a thiteann an tollán. Más é an riachtanas nach n-éalaíonn aon trácht lasmuigh den VPN, is ceist kill-switch agus balla dóiteáin í sin, agus teastaíonn a thástáil féin uaithi seachas tátal ón tábla bealaigh.