AWS Client VPN nasctha ach gan rochtain idirlín: seiceáil bealaí

Tá tú nasctha le pointe deiridh AWS Client VPN, freagraíonn an fho-líonra phríobháideach, agus fós téann gach leathanach poiblí as am. Cúngaíonn an teaglaim sin an fhadhb go ceann amháin de thrí ruda ar an taobh bainistithe: an bealach a shuiteálann an cliant, bealach an phointe deiridh mar aon lena riail údaraithe, nó an chéad chéim eile den fho-líonra ghaolmhar. Seiceálaim iad san ord sin mar go bhfeictear gach teip go difriúil ón gcliant. Clúdaíonn an treoir seo an pointe deiridh bainistithe atá gaolmhar le VPC, ní freastalaí OpenVPN ar shampla EC2 agus ní ceangal Cloud WAN ná Transit Gateway.

Tosaigh leis an méid a sheolann an cliant i ndáiríre

Cruthaíonn staid nasctha an seisiún TLS agus an sannadh CIDR don chliant, agus ní dhéanann sé aon rud eile. Fiafraigh den chóras oibriúcháin cén áit a rachadh seoladh poiblí agus an tollán in airde. Ar Linux, ba cheart do ip route get 1.1.1.1 comhéadan an tolláin a ainmniú; ar macOS, taispeánann netstat -rn -f inet | head -5 an iontráil réamhshocraithe; ar Windows, priontálann Find-NetRoute -RemoteIPAddress 1.1.1.1 an comhéadan roghnaithe agus an chéad chéim eile.

Ansin léigh an bhratach tolláin scoilte, mar socraíonn sí an iad bealaí foilsithe an phointe deiridh na cinn scríbe amháin a sheolann an cliant isteach sa tollán:

aws ec2 describe-client-vpn-endpoints \
  --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 \
  --query 'ClientVpnEndpoints[0].SplitTunnel'

Nuair atá SplitTunnel ina true, ní úsáideann ceann scríbe poiblí an tollán ach amháin nuair a fhoilsíonn an pointe deiridh bealach a chlúdaíonn é, mar sin fágann 0.0.0.0/0 atá ar iarraidh an trácht sin ar an gcomhéadan áitiúil. Nuair atá sé ina false, gabhann an cliant an trácht, ach caithfidh an pointe deiridh é a ródú agus a údarú fós; mura ndéanann, téann paicéid isteach sa tollán agus stopann siad ansin. Athnasc an cliant tar éis ceachtar den dá shocrú a athrú, mar seachadtar bealaí agus freastalaithe DNS ag am an naisc agus féadann cliant atá ag rith a shean-tacar a choinneáil.

Léigh bealach an phointe deiridh agus an riail údaraithe ar leithligh

Dhá rud iad, agus ní chruthaíonn cruthú ceann an ceann eile. Liostaigh bealaí an phointe deiridh agus lorg bealach réamhshocraithe a bhfuil a sprioc ina fho-líonra ghaolmhar:

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

Tá spriocfho-líonra amháin go díreach ag gach bealach, mar sin teastaíonn bealach réamhshocraithe comhfhreagrach ó gach ceann de na trí chomhlachas. Déanann AWS an ceanglas clúdaithe seo a dhoiciméadú, agus is é an comhartha praiticiúil ar bhearna úsáideoir a oibríonn ó fho-líonra amháin agus a stopann ó cheann eile, rud a léitear mar locht eatramhach seachas bealach ar iarraidh. Déanann an doiciméadú oifigiúil ar chás Client VPN cur síos ar an socrú fho-líonra phoiblí lena mbaineann na bealaí seo.

Is é an t-údarú an dara rud. Nuair nach gclúdaíonn aon riail an ceann scríbe poiblí, iompraíonn an tollán an paicéad agus caitheann an tseirbhís amach é, mar sin leanann acmhainní príobháideacha ag obair agus ní leanann an t-idirlíon:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

Ní deir riail don CIDR de chuid an VPC aon rud faoi 0.0.0.0/0. Chun na píosaí atá ar iarraidh a chur le tollán iomlán ciallaíonn sé bealach amháin in aghaidh gach fo-líonra ghaolmhar móide riail údaraithe ar féidir leat í a iniúchadh níos déanaí:

aws ec2 create-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 create-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all \
  --description "internet egress for full tunnel"

--access-all tugann sé an ceann scríbe do gach cliant den phointe deiridh, mar sin coinnigh é go fóill agus an tollán le bheith iomlán; is fearr riail atá ceangailte le grúpa eolaire nuair a bhíonn grúpaí agat le ceangal.

Lean an paicéad amach as an bhfo-líonra ghaolmhar

Socraíonn bealach an phointe deiridh go dtugann AWS an paicéad don fho-líonra sin. Ní shocraíonn sé an chéad chéim eile ina dhiaidh, atá ina chónaí i dtábla bealaí VPC an fho-líonra féin:

aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0a1b2c3d4e5f67890 \
  --query 'RouteTables[].Routes[?DestinationCidrBlock==`0.0.0.0/0`]'

Treoraíonn bealach réamhshocraithe inúsáidte chuig geata idirlín le haghaidh fo-líonra poiblí, nó chuig geata NAT le haghaidh ceann príobháideach, agus ciallaíonn staid blackhole go bhfuil an sprioc scriosta agus go bhfaigheann an cosán bás go ciúin anois. Táblaí difriúla iad seo ó liosta bealaí an phointe deiridh, agus ní dheisíonn deisiú ceann an ceann eile.

Tá dhá scagaire ar an gcéim seo. Caithfidh an grúpa slándála a chuirtear ar chomhlachas líonra na sprice trácht amach chuig an gceann scríbe poiblí a cheadú, agus caithfidh aon ACL líonra infheidhme an t-iarratas agus an trácht fillte ar phoirt eidhneánacha a cheadú. Is cúis choitianta é grúpa slándála sriantach comhlachais go n-oibríonn rochtain phríobháideach agus nach n-oibríonn rochtain phoiblí.

Roghnaigh an chéad chiseal ón gcomhartha seachas an trí cinn a athrú ag an am céanna:

Deighil teip DNS ó bhealach marbh

Teipeann réiteach ainmneacha ar bhealach difriúil ó tharchur, agus déanann tollán iomlán an difríocht tábhachtach mar go sroichtear an réiteoir brúite tríd an tollán anois. Má shonraíonn an pointe deiridh freastalaithe DNS an VPC, teastaíonn clúdach bealaigh agus údarú óna seoltaí mar aon cheann scríbe eile. Fiafraigh den réiteoir go díreach chun a fheiceáil cén teip atá agat: dig +short example.com @10.0.0.2, nó nslookup example.com 10.0.0.2 ar Windows.

Nuair a fhreagraíonn URL uimhriúil agus nach bhfreagraíonn ceann ainmnithe, stop ag cur an bhealaigh réamhshocraithe in eagar agus oibrigh ar DNS. Ní chruthaíonn iarratas chuig seoladh IP aon rud faoi óstach fíorúil ainmnithe agus a dheimhniú, mar sin coinnigh tástáil ainmnithe amháin sa seiceáil deiridh.

Cabhraíonn amú. Treoraíonn nasc TCP nach bhfaigheann freagra laistigh de chúpla soicind chuig ródú nó scagaire, agus treoraíonn iarratas a chrochann taobh istigh den chuardach ainmneacha chuig an réiteoir. Is gnách go ndéanann athrú an bhealaigh réamhshocraithe agus an réiteoir doshroichte teip amháin a iompú ina dhá cheann.

Fill ar ais go glan, ansin fíoraigh an cosán amach

Bhí an dá rud breise, mar sin is scriosadh é an filleadh siar seachas deisiú:

aws ec2 delete-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 delete-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all

Athnasc, ansin deimhnigh cén cosán a fhágann an trácht. Cuir an seoladh poiblí breathnaithe i gcomparáid le seoladh IP leaisteach an gheata NAT, nó leis an ngeata idirlín a raibh tú ag brath a úsáid, agus seiceáil go bhfreagraíonn acmhainn phríobháideach fós sa seisiún céanna.

Críochnaigh le liosta gearr agus caith leis an mír dheireanach mar chuid den athrú seachas mar dhoiciméadú:

• Bealach 0.0.0.0/0 amháin ón bpointe deiridh do gach fo-líonra ghaolmhar.
• Riail údaraithe a chlúdaíonn 0.0.0.0/0 do na cliaint ar mian leat freastal orthu.
• Bealach réamhshocraithe VPC nach bhfuil i staid blackhole ar gach fo-líonra ghaolmhar.
• Eisíocaíocht ghrúpa slándála an chomhlachais, móide trácht fillte ACL.
• Seoltaí an réiteora ródaithe agus údaraithe, fíoraithe le hiarratas ainmnithe.
• Filleadh siar taifeadta don bhealach agus don riail.

Nóta scóipe amháin: cosán IPv4 é seo. Coinníonn cliant dé-stack an nascacht IPv6 atá aige cheana, mar sin is cinneadh ar leith é bealach réamhshocraithe IPv6 lena údarú féin seachas fo-iarmhairt de seo.