Tá AWS Client VPN ceangailte, ach ní fhreagraíonn EC2 fós

Dúirt mo ríomhaire glúine go raibh sé ceangailte. Thaispeáin cliant AWS Client VPN a staid ghlais, thaifead an endpoint seisiún, agus fós ní raibh mé in ann port MongoDB a oscailt ar shampla EC2 i bhfo-líonra príobháideach. Ní raibh aon rud briste go soiléir: bhí an teastas bailí, tháinig an próifíl ón gconsól, agus d’fhuaraigh an tollán trácht. Ba liomsa an botún, mar bhí mé ag léamh ceangailte mar údaraithe.

Freagraíonn an logáil isteach ceist amháin go beacht: an bhféadfaidh an fhéiniúlacht seo seisiún a bhunú? Cinntear gach rud ina dhiaidh sin le rialacha ar leith nach bhfeiceann do theastas riamh. Is dhá rathúlacht éagsúla iad seisiún a fhíordheimhníonn agus paicéad a shroicheann, agus is sa bhearna eatarthu atá formhór na dtuairiscí den chineál tá an VPN suas ach níl an t-óstach inrochtana.

Is iad na seiceálacha thíos an t-ord a úsáidim anois.

Cad a chruthaíonn seisiún ceangailte i ndáiríre

Le linn an handshake déanann an endpoint teastas an chliaint a bhailíochtú i gcoinne a trust store, nó atreoraíonn sé an brabhsálaí chuig do sholáthraí féiniúlachta nuair atá SAML cumraithe. Má théann sin tríd, faigheann an cliant seoladh ó CIDR cliaint an endpoint agus taispeánann an consól nasc gníomhach. Ag aon phointe sa mhalartú sin ní fhiafraíonn aon rud an féidir leat 10.0.4.17 a shroicheadh ar phort 27017.

Is réad ar leith é cead do cheann scríbe ar an endpoint. Meaitseáiltear gach sreabhadh i gcoinne na rialacha údaraithe, agus nascann gach ceann acu CIDR ceann scríbe leis an ngrúpa a dtugtar an riail dó. Nuair nach gclúdaíonn aon riail an ceann scríbe, glacann an endpoint leis an seisiún agus scaoileann sé an trácht. Níl aon bheanóg, aon lúb athcheangail, ná aon rud i gcomhéadan an chliaint a deir diúltaithe.

Cuir an riail údaraithe i gcomparáid leis an acmhainn, ní leis an VPC

Liostaigh na rialacha agus coinnigh iad in aice leis an seoladh atá ag an sampla i ndáiríre:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Taispeánann an t-aschur CIDR ceann scríbe agus ID grúpa in aghaidh na rialach. Tá dhá mhainneachtain i bhfolach ann. Féadfaidh an riail 10.0.0.0/16 a údarú agus an sampla suite i VPC piaraí ar 10.1.0.0/16; tá an bealach peering ann, ach níor scríobh aon duine riail údaraithe don dara raon. Nó féadfaidh an riail díriú ar ghrúpa eolaire a mbíonn an t-úsáideoir ann san eolaire ach nach mbíonn sé sa ghrúpa a mheasann an endpoint.

Scríobh an riail is cúinge a chlúdaíonn an ceann scríbe, agus cuir an dara ceann leis ach amháin nuair a bhíonn dara CIDR de dhíth i ndáiríre. Oibríonn riail leathan 0.0.0.0/0 ó thosach tapa, agus is ar an ábhar sin a mhaireann sí go dtí an táirgeadh agus a cheiltíonn sí an tsamhail.

Cinneann dhá thábla bealaigh an ngluaiseann an paicéad

Mapálann bealach endpoint CIDR ceann scríbe chuig ceann de na fo-líonraí a bhfuil an endpoint nasctha leo. Is leath bealaigh é sin. Caithfidh tábla bealaigh an fho-líonra féin a bheith eolach fós ar conas an paicéad a sheoladh ar aghaidh, agus tá tábhacht leis an nóiméad a bhíonn an ceann scríbe taobh thiar de nasc peering, de transit gateway nó de raon áitiúil atá inrochtana trí thollán site-to-site.

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Lorg bealach a bhfuil a cheann scríbe ag teacht le CIDR na hacmhainne agus a bhfuil a sprioc ina fho-líonra nasctha. Má tá an bealach ar iarraidh, cuir leis é. Má tá sé ann agus an t-óstach fós ciúin, tá an bhearna ar thaobh an VPC, mar sin cuir i gcomparáid le tábla bealaigh an fho-líonra comhlachais.

Briseann socruithe amháin ar thaobh an chliaint an ródú gan an tollán a bhriseadh: próifíl a bhfuil route-nopull inti. Deir an treoir le cliant atá bunaithe ar OpenVPN neamhaird a dhéanamh de na bealaí a bhrúnn an freastalaí, ionas nach n-éiríonn an comhéadan ach le seoladh an endpoint féin agus nach bhfuil aon bhealach ag an gceann scríbe. Seiceáil le ip route show ar Linux nó netstat -rn ar macOS an bhfuil bealach trí chomhéadan tun ann. Mura bhfuil, bain route-nopull ón bpróifíl easpórtáilte agus athcheangail ionas go gcuirtear na bealaí brúite i bhfeidhm.

Ní fheiceann grúpaí slándála seoladh do chliaint

Seo an chuid a bhí mícheart agam ar feadh tráthnóna iomláin. I gcás endpoint IPv4 atá nasctha le fo-líonra, aistríonn an tseirbhís seoladh foinse an chliaint go seoladh chomhéadan líonra an endpoint sa fho-líonra sin. Ní iompraíonn an paicéad a shroicheann an sampla an seoladh a thaispeáin do chliant, mar sin ní mheaitseálann riail ghrúpa slándála a cheadaíonn an comhthiomsú cliant, abair 172.16.0.0/22, aon rud ar chor ar bith.

Ceadaigh an port ó ghrúpa slándála an endpoint, atá ceangailte le comhéadan an chomhlachais, seachas ó CIDR an chliaint. Tá tagairt don ghrúpa níos marthanaí ná seoladh a chrua-chódú, mar ní leatsa a dhéantar seoladh an chomhéadain a rialú. Tá ACLanna líonra gan staid, mar sin áit a bhfuil iontrálacha saincheaptha ann, caithfidh an treo isteach agus an treo amach araon an sreabhadh a cheadú.

Ceangail le seoladh príobháideach an sampla freisin. Tugann IP poiblí an paicéad amach as an VPC agus ar ais isteach trí bhealach eile le rialacha eile, mar sin ní deir tástáil phoiblí aon rud faoin mbealach príobháideach.

Ord leithlise a stopann ag an gcéad mhainneachtain

Oibrigh tríothu in ord agus stop mar a theipeann ar cheann. Eisianaíonn gach céim sraith amháin seachas iad uile.

1. Deimhnigh cén fhéiniúlacht a d’úsáid an seisiún agus cén grúpa a mheasann an endpoint. Ní hionann teastas ó trust store amháin agus maíomh SAML ón eolaire mar an bpríomhpháirtí céanna.
2. Deimhnigh go gclúdaíonn riail údaraithe CIDR na hacmhainne don ghrúpa sin.
3. Deimhnigh go bhfuil bealach endpoint ann agus go ndíríonn sé ar fho-líonra nasctha, ansin go féidir le tábla bealaigh an fho-líonra dul ar aghaidh.
4. Deimhnigh go gceadaíonn an grúpa slándála an port ó chomhéadan an endpoint seachas ó chomhthiomsú an chliaint.
5. Tástáil ó thaobh istigh den VPC, le seisiún SSM ar shampla eile sa fo-líonra céanna, chun fadhb feidhmchláir a scaradh ó fhadhb bhealaigh an chliaint.

Nuair nach bhfuil na céimeanna cinntitheach, is é an tábla seo mo chúltaca:

Táirgeann dhá shonra cuntais comharthaí atá cosúil le mainneachtainí ceada. Teastaíonn teastas cliaint ar leith ó gach úsáideoir; má roinntear ceann amháin idir dhá mheaisín aistríonn na seisiúin a chéile, agus is lúb athcheangail an toradh seachas diúltú. Nuair a chruthaítear endpoint nua, taispeánann an consól ainm DNS nach nglacann roinnt leaganacha cliaint leis ach amháin leis an réimír randamach a thaispeántar ar leathanach an endpoint, mar sin cóipeáil an t-ainm iomlán seachas é a atógáil.

Má fhágann céim a cúig tú sáinnithe, tarraing logáil naisc an endpoint agus léigh na hiontrálacha údaraithe sula n-athraíonn tú aon rud. Ainmníonn an logáil an ceann scríbe a seiceáladh agus an riail a mheaitseáil nó nár mheaitseáil, agus crapann sé sin an cheist cheithre shraith ina freagra amháin.