LAN taobh thiar de sheisiún amháin AWS Client VPN: cad a sheoltar ar aghaidh

Nascann an ríomhaire glúine le críochphointe AWS Client VPN, sroicheann sé an fosheolú priváideach, agus tá cuma shláintiúil ar gach rud. Ní shroicheann an deasc ar an LAN céanna aon rud, cé go bhfuil comhéadan droichid ag an óstach Linux freisin agus go bhfuil an dá mheaisín ar an sreang chéanna. Níl aon rud míchumraithe sa tollán; is é an píosa atá ar iarraidh an ródú, agus is seachrán é an droichead.

Is ról geata é seisiún Client VPN a leathnú chuig LAN. Ní deighleog Ethernet í a shíntear isteach i seirbhís bhainistithe.

Oibríonn an t-óstach agus ní oibríonn an LAN

Tá seoladh ag comhéadan an tolláin ar an mbosca Linux laistigh de CIDR an chliaint Client VPN, agus tá róid brúite ag an gcríochphointe do raonta an VPC. Is trácht a ghintear go háitiúil é iarratas a dhéantar ar an mbosca sin: roghnaíonn sé ród, téann sé amach tríd an tollán agus faigheann sé freagra. Ní bhaineann an cosán sin riamh leis an gcód seolta ar aghaidh, le comhéadan an LAN ná le haon riail balla dóiteáin a rialaíonn idirthuras.

Is sreabhadh difriúil é trácht ó fheiste eile ar an LAN. Sroicheann sé comhéadan an LAN, teastaíonn ród uaidh a dhíríonn isteach sa tollán, teastaíonn seoladh ar aghaidh cumasaithe uaidh, teastaíonn balla dóiteáin uaidh a cheadaíonn é, agus teastaíonn uaidh go dtiocfadh an freagra ar ais tríd an óstach céanna. Ceithre riachtanas, agus ní chruthaíonn an tástáil ríomhaire glúine atá ag obair aon cheann acu. Ón deasc tá cuma aisteach ar an teip: tá an tollán suas, tá na dintiúir bailí, agus ní fhreagraíonn an ceann scríbe riamh. Tá an locht áitiúil do chosán seolta ar aghaidh an gheata, ní don tseirbhís.

Ní féidir le gach cliant a bheith ina gheata

Deir AWS nach dtacaíonn a fheidhmchlár deisce Client VPN le seoladh IP ar aghaidh, agus go bhféadfadh cliaint eile tacú leis. Cinneann an srian sin an ailtireacht sula scríobhtar aon ordú. Mura bhfuil ar fáil ach an feidhmchlár deisce oifigiúil, ní cumraíocht í geata Linux a sheolann ar aghaidh don LAN ar féidir leat a chríochnú, agus ní athróidh aon mhéid masquerading é.

Caithfidh an cliant ionaid freisin teacht le modh fíordheimhnithe an chríochphointe agus leis an mbeartas atá ar intinn agat a fhorfheidhmiú. Ní ghlacann críochphointí bunaithe ar dheimhniúcháin, ar eolaire agus ar SAML leis na cumraíochtaí cliaint céanna, agus ní feabhsú é cliant tríú páirtí a fhíordheimníonn ach a dhéanann neamhaird de na róid a bhrúitear.

Caith le rogha an chliaint mar chuid den athbhreithniú dearaidh. Cinneann sé an bhfuil patrún seolta ar aghaidh an LAN ar fáil ar chor ar bith, agus cinneann sé cén fhéiniúlacht a fheiceann an críochphointe do gach feiste taobh thiar den gheata. Taifead an cliant agus cumraíocht an chríochphointe ar tástáladh ina choinne. Féadfaidh malartú cliaint sé mhí níos déanaí an cumas a ghlac an dearadh leis a bhaint go ciúin.

Treoraigh an LAN chuig an tollán agus aistrigh é

Le cliant tacaíochta ina áit, is gnáthobair gheata an chuid eile. Teastaíonn ród do raon an VPC ó fheistí an LAN a dhíríonn chuig an óstach Linux, agus teastaíonn seoladh ar aghaidh cumasaithe ón óstach. Más mian leat go bhfeicfeadh an VPC an trácht mar an cliant nasctha seachas mar sheoladh LAN treallach, aistrigh an fhoinse ag an amharc amach.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Cuirtear an riail chuig comhéadan an tolláin agus chuig raon an VPC, mar a dhéantar thuas, seach masquerading a dhéanamh ar gach rud a sheolann an t-óstach ar aghaidh. Is fusa réasúnaíocht a dhéanamh faoin riail níos cúinge, agus ní athraíonn sí go ciúin trácht a bhí ceaptha a sheoladh foinse bhunaidh a choinneáil.

Déan an ród LAN a theacht go huathoibríoch más féidir: rogha DHCP, fógra ródair, nó ród statach a bhrúitear ag an rud a bhainistíonn an LAN. Déanfaidh ród nach bhfuil ann ach ar mheaisín tástála amháin an dearadh a fheiceáil briste an nóiméad a thriailfidh duine éigin eile é.

Teastaíonn cosán ón bhfreagra freisin

Nuair a shroicheann an t-iarratas an VPC, caithfidh an freagra teacht ar ais trí na stáit aistriúcháin céanna agus an ród LAN a fháil ar an ngeata. Oibríonn an chuid sin de ghnáth nuair a bhíonn an riail masquerade ina háit, toisc go maireann an mhapáil ar an óstach a rinne é. Briseann sé nuair a bhíonn ród ag taobh an VPC a sheolann an freagra áit éigin eile, agus sin an fáth a bhfuil tábhacht ag baint le ród CIDR an chliaint agus le comhcheangal fosheolú an chríochphointe araon.

Féach ar na háirimh, ní ar an ping amháin. Deir riail masquerade le nialas paicéad leat nár shroich an t-iarratas comhéadan an tolláin riamh, rud a dhíríonn ar ais chuig ród an LAN nó chuig tábla ródaithe an chliaint féin. Díríonn riail a bhfuil paicéid aici ach gan freagraí chuig taobh an VPC, chuig na rialacha údaraithe nó chuig grúpa slándála nach nglacann leis an bhfoinse aistrithe. Léigh an dá threo sula n-athraíonn tú aon rud, mar is cosán aontoiseach é áireamh a fhásann ar thaobh amháin amháin, ní cosán mall.

Cuimhnigh gur seirbhís bhainistithe é an críochphointe. Níl aon chomhad cumraíochta freastalaí le cur in eagar ná aon treoir client-config le cur leis, mar sin ní aistrítear treoracha a scríobhadh do fhreastalaí OpenVPN féinbhainistithe le róid fosheolú cliaint saincheaptha. In AWS is iad na luamháin comhcheangal fosheolú, rialacha údaraithe agus táblaí ródaithe an VPC.

Is é an fhéiniúlacht chomhroinnte an chuid a chaithfidh an beartas a fhreagairt

Úsáideann gach feiste taobh thiar den gheata seisiún VPN an gheata. Tugann rialacha údaraithe an chríochphointe rochtain d’úsáideoir nó do ghrúpa, agus ó thaobh na seirbhíse de tá úsáideoir amháin go beacht ar an seisiún sin. Ní iolraíonn seoladh ar aghaidh áitiúil an fhéiniúlacht sin ina fhíordheimhniú in aghaidh na feiste, agus ní leathnaíonn sé seiceálacha staide feiste chuig an printéir sa chúinne.

Féadfaidh sé sin a bheith inghlactha, nó féadfaidh sé a bheith ina chúis le diúltú don dearadh. Braitheann sé ar cad a ghlacann acmhainní an VPC leis faoin té a chuireann glao. Tá féiniúlacht chomhroinnte a oireann don tsamhail údaraithe ceart go leor; is fionnachtain í ceann a chasann seisiún fíordheimhnithe amháin go ciúin ina rochtain ar fud an LAN atá ag fanacht le scríobh.

Más é an riachtanas i ndáiríre suíomh iomlán a nascadh le VPC, déan comparáid idir dearadh suíomh-go-suíomh tacaíochta sula leathnaíonn tú cliant rochtana cianda. Tá an tséimeantaic difriúil, agus is droch-ionadaí é seisiún cliaint NAT-ed do nasc suímh nuair a chaithfidh an VPC naisc a thosú isteach sa LAN.

Socraigh an cliant, an ród, an t-aistriúchán agus scéal na féiniúlachta san ord sin. Cuireann gach ceann srian ar an gceann eile, agus míníonn an t-ord sin an fáth a n-oibríonn an t-óstach agus nach n-oibríonn an LAN.