AWS Client VPN nó bastion chun VPC piaraí a bhaint amach

Is féidir le haon endpoint Client VPN VPC a bhaint amach atá piaraí lena VPC gaolmhar, agus ní gá bastion chun é sin a dhéanamh dlisteanach. Is é an rogha is fiú a dhéanamh ná cá n-athraíonn an trácht lámha: bealach endpoint a thagann i dtír sa fho-líonra comhlachais agus a thrasnaíonn an nasc peering, nó óstach sa VPC piaraí a chríochnaíonn an seisiún. Oibríonn an dá chonair agus teipeann siad in áiteanna éagsúla, mar sin baineann an cinneadh le húinéireacht agus iniúchadh, ní le cad a cheadaíonn AWS. Seo mar a roghnaím eatarthu, agus na ceithre iontráil a fhágann an bealach ródaithe ag obair.

Dhá chonair, aon endpoint amháin, úinéirí éagsúla

Ar an mbealach ródaithe sroicheann trácht an chliaint an endpoint, aistrítear é chuig seoladh an chomhéadain líonra Client VPN san fho-líonra comhlachais, agus fágann sé an fo-líonra sin thar an nasc peering ó A go B. Ní chríochnaíonn VPC B aon seisiún VPN; feiceann sé gnáth-thrácht ó VPC A, agus is é sin an fáth a dtugann a bhealach fillte aghaidh ar VPC A, ní ar an linn cliant.

Ar bhealach an bhastion sroicheann an cliant óstach ar dtús. Fágann bastion in A go dtrasnaíonn an chéim dheireanach an nasc peering fós, mar sin coinníonn tú obair peering agus cuireann tú seisiún leis. Teastaíonn bealach ón gcliant ó bhastion in B freisin, agus nuair is é an bealach céanna endpoint sin, tá an dearadh ródaithe agat móide léim amháin. Ní bhaineann an bastion obair amach ach amháin nuair a bhíonn sé ann cheana, nuair a bhíonn cead aige cheana, agus nuair a theastaíonn teorainn seisiúin seachas teorainn líonra ón rud atá taobh thiar de.

Ceithre iontráil a fhágann an bealach ródaithe ag obair

Déanann AWS an cás seo a dhoiciméadú ar leathanach Client VPN how-it-works, agus go praiticiúil tagann sé go ceithre iontráil atá ag dhá nó trí fhoireann. Tá na raonta léiritheach; caithfidh an raon piaraí a bheith uathúil agus caithfidh an raon fillte teacht le do phlean.

Is rialuithe ar leithligh iad bealach agus cead. Ní thugann bealach endpoint ceart gan riail údaraithe mheaitseálach aon rud don chliant; tugann riail údaraithe do cheann scríbe nach féidir leis an endpoint a ródú poll dubh dó. Caithfidh an dá rud an raon céanna a ainmniú.

Tugann bealach an endpoint aghaidh ar fho-líonra i VPC an endpoint féin, riamh ar an nasc peering. Tugann táblaí bealaigh VPC aghaidh ar an nasc peering, riamh ar shampla nó ar chomhéadan. Sábháiltear luach a chóipeáil idir an dá rud gan ghearán agus ní ródaíonn sé aon rud.

Toisc go n-aistríonn an fo-líonra comhlachais foinse an chliaint, caithfidh B ródú ar ais go VPC A, ní chuig an linn cliant. Breathnaíonn sé siméadrach raon an chliaint a sheoladh thar an nasc peering, téann sé tríd an athbhreithniú agus teipeann sé go ciúin toisc nach bhfeiceann B riamh paicéad a bhfuil foinse cliant aige.

Grúpaí slándála agus an méadar deireanach ceada

Cuireann ródú paicéid isteach i mB; socraíonn B fós. Le haghaidh nasc peering gníomhach sa réigiún céanna, is féidir le grúpa slándála i mB tagairt a dhéanamh don ghrúpa a chuirtear i bhfeidhm ar chomhlachas Client VPN, rud a choinníonn an riail cúng agus a mhaireann athruithe seoltaí. Nuair nach féidir tagairt ghrúpa a dhéanamh, ceadaigh raon an fho-líonra comhlachais go sainráite in ionad é a leathnú go 0.0.0.0/0, rud a iompaíonn botún ródaithe ina am istigh gan mhíniú.

Ansin seiceáil an rud nach mbaineann ródú riamh leis: ACLanna líonra ar an dá fho-líonra, liosta cead an fheidhmchláir nó lucht éisteachta an chomhartha, agus DNS. Ní chóipeálann peering criosanna óstáilte príobháideacha, mar sin féadfaidh an ríomhaire glúine bealach oibre a choinneáil chuig seoladh nach féidir leis a réiteach, agus ní chuireann nasc peering aon mhuinín le teastas. Cuir an endpoint chuig réiteoir a fhreagraíonn do B, ansin deimhnigh go n-oireann an t-ainm príobháideach agus an teastas dá chéile.

Cathain is é an bastion an freagra ionraic

Coinním trí spreagadh chun bastion a roghnú d'aon ghnó. Baineann an VPC piaraí le foireann nach gcuirfidh bealach fillte le do raon nó nach nglacfaidh le tagairt ghrúpa. Caithfear rochtain a cheadú nó a thaifeadadh de réir seisiúin agus ní féidir leis an bhfeidhmchlár sin a iompar féin. Nó caithfidh an chéim dheireanach fanacht taobh istigh de B toisc nach réitítear an tseirbhís ach ansin agus go bhfuil a féiniúlacht TLS greamaithe d'ainm inmheánach.

Ní seachbhóthar é aon rud díobh seo timpeall ar an bhfíric nach bhfuil peering trasnach. Cuireann neamh-thrasnacht teorainn le cad is féidir le hacmhainní i mB a dhéanamh: ní féidir leo A a úsáid mar idirthuras chuig tríú VPC a bhfuil A piaraí leis. Níor chiallaigh sé riamh nach féidir le húsáideoir VPN VPC piaraí díreach a bhaint amach, agus is óstach é bastion a tógadh chun an mhíléamh sin a sheachaint nach gá a phaisteáil gan chúis.

Cosnaíonn an botún droim ar ais níos mó le himeacht ama: cuir gach foireann tríd an aon bastion atá ann cheana, ansin faigh amach gurb é a ghrúpa slándála, a thábla bealaigh agus a fhuinneog paiste an spleáchas táirgthe. Scríobh síos cén spreagadh a fhreastalaíonn an t-óstach air, agus cuir ar scor é nuair a imíonn an spreagadh.

Athraíonn Transit Gateway agus roinnt comhlachas an uimhríocht

Má tá an endpoint ceangailte go díreach le Transit Gateway seachas le fo-líonra, athraíonn an tsamhail: ní aistrítear cliant a thuilleadh chuig seoladh comhéadain in fo-líonra comhlachais, agus caithfidh táblaí bealaigh an gheata an raon cliant a iompar móide an ceangaltán a thugann chuig an VPC piaraí. Tá sé sin níos glaine ar scála, ach bogann an obair ó cheithre iontráil go táblaí bealaigh an gheata.

Iolraíonn roinnt comhlachas na seiceálacha. Baineann bealach an endpoint leis an endpoint, ach teastaíonn tábla bealaigh le fíorchéim peering eile ó gach fo-líonra comhlachais. Féadfaidh seisiún éirí as comhlachas amháin agus gan bealach fillte ag ceann eile, mar sin tástáil gach ceann.

Ordú fíoraithe a aimsíonn an briseadh go tapa

Rith iad seo in ord; féadfaidh gach céim éirí agus an chéad cheann eile ag teip, agus is annamh a deir am istigh cliant cé acu a bhris.

1. Réitigh ainm an fheidhmchláir ón gcliant agus seiceáil go bhfuil an seoladh laistigh den raon piaraí.
2. Ceangail, ansin léigh log na nasc endpoint don chomhlachas a chríochnaigh an seisiún.
3. Ar an bhfo-líonra comhlachais sin, deimhnigh go dtagann tábla an bhealaigh aghaidh ar an raon piaraí chuig nasc peering gníomhach.
4. Ar fho-líonra na n-acmhainní i mB, deimhnigh iontráil fillte don raon comhéadain agus rialacha grúpa meaitseálacha.
5. Tástáil oibríocht amháin a cheadaítear agus acmhainn amháin nach mór fanacht dorochtana; gabhann an dara ceann iarsmaí dífhabhtaithe.
6. Athcheangail tar éis aon athrú bealaigh split-tunnel, toisc nach nglacfaidh tollán atá ag rith sraith bealaí nua.

Is fiú dhá chomhartha a mheabhrú. Is é SYN a shroicheann B gan freagra beagnach i gcónaí an bealach fillte atá ar iarraidh. Is gnách gurb é an grúpa, an ACL nó an feidhmchlár a bhíonn i gceist le nasc a chríochnaíonn agus a athshocraítear ansin. Ní thaispeántar ceachtar acu mar chúis i log an endpoint, mar sin coinnigh na ceithre iontráil le húinéir in aice le gach ceann.

Mura bhfuil aon cheann de na trí spreagadh i bhfeidhm, críochnaigh an bealach ródaithe agus taifead na ceithre iontráil sin. Má tá ceann i bhfeidhm, coinnigh an bastion don teorainn sin amháin agus fág bealach an endpoint do sheirbhísí nach dteastaíonn seisiún os a gcomhair.