strongSwan ar EC2: déan an VPC a ródú ar an ualach oibre

Tá an tollán suas, is féidir le cás an gheata an líonra cianda a phingáil, agus ní féidir le cás na feidhmchláir ina aice aon rud a shroicheadh. Níl aon rud briste. Thosaigh an tástáil a d'éirigh ar an óstach VPN, agus níor fhiafraigh sí riamh an bhféadfadh an t-óstach sin seoladh foinse difriúil a iompar tríd an gcaidreamh IPsec céanna. Dúnann an rithleabhar seo an bhearna sin i gceithre chéim, san ord a choinníonn gach teip le feiceáil.

Scríobh síos na ceithre sheoladh ar dtús

Tagraíonn gach céim thíos dóibh seo, mar sin líon isteach iad do do chuntas féin sula dtéann tú i dteagmháil le tábla ródaithe.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Glacann an sampla le nasc IPsec polasaí-bhunaithe ceadaithe atá ag obair, agus le sreabhadh a chaomhnaíonn an fhoinse. Ní cliant rochtana cian NAT é seo a fhaigheann seoladh amháin ar iasacht, agus socraíonn an difríocht sin an gcaithfear na roghnóirí a athrú.

Céim 1: tabhair ród d'fhoirlíon an ualaigh oibre

Teastaíonn conair ón tábla ródaithe atá ceangailte go hiarbhír le foirlíon an ualaigh oibre don réimír chianda a dhíríonn ar chomhéadan líonra an gheata. Ní iontráil sa tábla ródaithe AWS sin é ród aoi a shuiteáiltear taobh istigh den chás, agus ní chruthóidh aon mhéid cumraíochta strongSwan ceann.

Déanann treoir AWS maidir le ródú trí fhearas cur síos ar spriocanna comhéadain líonra agus ar riachtanas seiceála foinse/cinn scríbe an cháis a aistríonn. Cuir teorainn leis an athrú seiceála sin le ról an gheata, agus fág gnáthchásanna feidhmchlár i suaimhneas.

Ná cuir ród áitiúil an VPC ná gach iontráil atá ann cheana in ionad a chéile chun spás a dhéanamh do líonra ceadaithe amháin. Scrúdaigh cad atá ceangailte agus gníomhach seachas cad a thaispeánann leathanach consóil do thábla ródaithe nach n-úsáideann éinne. Is féidir ceangail éagsúla a bheith ag dhá thábla atá cosúil le chéile. Is é an ceann a bhfuil tábhacht leis an gceann a bhfuil foirlíon an ualaigh oibre ceangailte leis.

Céim 2: cumasaigh an t-aistriú ar an aoi

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Caithfidh an t-eithne aistriú, agus caithfidh balla dóiteáin an óstaigh an t-idirthuras a cheadú. Cuir na rialacha aistrithe beartaithe leis do réimírí an ualaigh oibre agus na réimírí cianda seachas gach rud a ghlacadh, agus deimhnigh go gcoinníonn foirlíon an gheata ród iompair inúsáidte dá thrácht féin.

Is ag grúpaí slándála a stopann an chéim seo de ghnáth. Ní fhaigheann meánbhosca oidhreacht ar iompar tagartha grúpa slándála na cumarsáide dírí idir chásanna, mar sin b'fhéidir nach n-oirfeadh riail a cóipeáladh ó shampla Client VPN bainistithe riamh. Seiceáil an grúpa slándála agus ACL na foirlíne ar an gconair iarbhír, sa dá threo.

Céim 3: leathnaigh na roghnóirí chuig na fíorfhoinsí

Míníonn polasaí nach gclúdaíonn ach 10.60.1.10/32 ar thaobh AWS rath a thosaigh ag an ngeata gan 10.60.2.20 a chlúdach. Ní leathnaíonn ród i dtreo an chinn scríbe chianda roghnóir tráchta, agus sin é an dara leath den iontas céanna.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Má chosnaíonn an dearadh comhaontaithe an VPC ar fad, caithfidh an dá phiara glacadh le 10.60.0.0/16 agus 10.90.0.0/24. Má chosnaíonn sé ualach oibre amháin, úsáid an réimír níos cúinge sin go toiliúil. Cibé scéal é, scrúdaigh an polasaí CHILD-SA suiteáilte, mar ní hé an comhaontú céanna cumraíocht a chuir tú in eagar agus piara a chaolú ar bhealach eile.

Caithfidh an suíomh cianda freagraí do na foinsí VPC caomhnaithe a ródú ar ais tríd an ngeata IPsec beartaithe freisin. Coinnigh an díolúine NAT thacaithe do thrácht cosanta mar a bhfuil rialacha NAT foinse eile ann; is conradh féiniúlachta difriúil é ualach oibre neamhcheadaithe a aistriú go seoladh óstaigh cheadaithe, ní aicearra chuig an rochtain a bhí uait.

Céim 4: fíoraigh, agus ansin rollaigh siar más gá

Tástáil ón ualach oibre féin le hoibríocht feidhmchláir nua cheadaithe, ansin déan arís le ceann scríbe ar cheart a eisiamh. Taifead an seoladh foinse a fheiceann an tseirbhís chianda agus an chonair fillte a úsáideann sí. Ní hé ping geata ná stádas IKE glas an tástáil sin.

Má theipeann ar an ualach oibre fós agus an geata ag obair, siúil siar trí na céimeanna in ord: roghnóir, ansin aistriú agus grúpaí slándála, ansin an tábla ródaithe ceangailte. Tá comhartha ar leith ag gach ceann, agus scipeálann buille faoi thuairim an ceann atá mícheart i ndáiríre.

Aisiompaíonn an rollú siar an t-ord céanna. Bain ród fhoirlíon an ualaigh oibre is deireanaí, tar éis na roghnóirí roimhe seo a aisiriú, ionas nach bhfágfaidh tú foirlíon ag díriú ar gheata nach gcosnaíonn a fhoinsí a thuilleadh. Is féidir le féin-óstáil freastal ar níos mó ná óstach an gheata nuair a sheasann na conarthaí seo, agus is samhail oibriúcháin dhifriúil é Site-to-Site VPN arna bhainistiú ag AWS ina bhféadfadh strongSwan a bheith ag taobh gheata an chliaint ina ionad.