VGW nó TGW? Cá gcríochnaíonn tollán IPsec AWS Site-to-Site

Fiafraíonn daoine cá stopann AWS Site-to-Site VPN de bheith ag cosaint an phaicéid agus bíonn siad ag súil le freagra amháin: ag an ngeata. Ainmníonn an leagan úsáideach den fhreagra sin cé acu geata, mar is socrúcháin éagsúla iad geata príobháideach fíorúil agus geata idirthurais a bhfuil rudaí ceangaltáin éagsúla acu, agus tógann an t-athbhreithneoir a ghlacann leis an gceann mícheart an chuid eile den mheasúnú ar léaráid nach bhfuil ann. Oibrigh na trí sheiceáil thíos in ord. Deimhníonn gach ceann acu an teorainn nó insíonn sé duit go raibh an freagra roimhe seo faoi acmhainn eile.

Ainmnigh na trí chríochphointe sula measúnaíonn tú aon rud

Teastaíonn trí rud ainmnithe ó athbhreithniú criptithe ar an gcosán seo: an geata custaiméara, sprioc AWS VPN a chríochnaíonn IPsec, agus críochnphointe an fheidhmchláir a fhaigheann an paicéad istigh. Scríobh síos iad lena n-aithneoirí acmhainne sula n-osclaíonn tú aon leathanach consóil amháin, mar is ráiteas faoi cheann amháin de na trí rud iad gach rud tar éis an phointe seo.

Is leatsa an geata custaiméara agus tá a chumraíocht le feiceáil agat. Is acmhainn bhainistithe é sprioc AWS, agus is é an botún ná glacadh leis: is féidir le nasc VPN ceangal le geata príobháideach fíorúil nó go díreach le geata idirthurais, agus ní thugann ceachtar acu an ceann eile le tuiscint. Is é an tríú críochnphointe an ceann a scipeálann daoine, agus is é an t-aon cheann a fhreagraíonn an fíorcheist faoi shonraí an fheidhmchláir.

Seiceáil 1: cén geata a chríochnaíonn an tollán i ndáiríre

Tacaítear leis an dá shocrúchán agus treoir ailtireachta Site-to-Site VPN cuireann sí síos orthu taobh le taobh, mar sin fiafraigh den API seachas de léaráid a bhíonn bliain d'aois go minic. Filleann ceist inléite amháin ar nasc amháin na réimsí sprice VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Is é TransitGatewayId an t-idirdhealaitheoir, ní VpnGatewayId. Críochnaíonn nasc a bhfuil TransitGatewayId folamh air ar gheata príobháideach fíorúil neamhspleách, agus críochnaíonn nasc a bhfuil an réimse sin socraithe air ar cheangaltán VPN geata idirthurais, agus féadfaidh VpnGatewayId a bheith líonta fós sa chás sin mar is féidir leis an ngeata tacaíochta atá ag an gceangaltán a ainmniú. Léigh réimse TGW ar dtús, ansin deimhnigh cineál an cheangaltáin ón liosta ceangaltán seachas ó ainm réimse, mar ní hé ceangaltán VPN an ceangaltán VPC ar an ngeata idirthurais sin. Ní insíonn sé aon rud duit faoi cén ceangaltán VPN a d'iompair an paicéad má aimsíonn tú an ásc sprice i VPC ceangailte.

Agus tú ansin, seiceáil na tolláin. Iompraíonn an nasc dhá thollán IPsec le haghaidh iomarcaíochta, agus is fíor-léargas é nasc nár éirigh an dara tollán de riamh maidir le hinfhaighteacht, cé nach n-athraíonn sé aon rud faoin teorainn criptithe:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Seiceáil 2: cad atá fós á iompar ag an bpaicéad istigh

Nuair a chríochnaíonn IPsec, seolann AWS an paicéad díchapsúilte ar aghaidh ag baint úsáide as an mbealach a mheaitseáil leis. Ón bpointe sin is gnáth-thrácht VPC é an trácht, agus tá cosaint an VPN críochnaithe. Ní bearna sa tseirbhís é sin; is é sin an chiall atá leis an teorainn, agus is é an mhír ar an seicliosta é a rá go soiléir in ionad ligean do "tá an VPN criptithe" seasamh in áit "tá na sonraí criptithe ó cheann ceann".

Scrúdaigh anois cad a bhí istigh. Más prótacal feidhmchláir i dtéacs soiléir é an paicéad istigh, ní chuireann aon rud níos faide síos rúndacht leis go dtí go gcriptíonn rud éigin eile é. Má iompraíonn an paicéad istigh seisiún TLS cheana féin, ní athraíonn baint an IPsec sheachtraigh aon rud don seisiún sin: fanann sé cosanta go dtí a chríochnphointe féin, cibé áit a bhfuil an críochnphointe sin.

Is é an rócheartú coitianta ná teacht ar an gconclúid go bhfuil gach rud taobh thiar den ngeata nochtaithe. Níl. Is meicníochtaí ar leith iad iompar seirbhíse, criptiú stórála agus TLS feidhmchláir a bhfuil coinníollacha ar leith acu, agus caithfear gach ceann a mheasúnú ar a choinníollacha féin seachas a bheith tátalaithe ó chruth an VPN. Cruthaíonn iontráil loga sreafa a thaispeánann ACCEPT gur oibrigh an ródú agus ní insíonn sé aon rud faoi rúndacht, agus is é sin go beacht an botún atá an seicliosta seo ann chun é a chosc.

Seiceáil 3: cad a chríochnaíonn TLS taobh thiar den ngeata

Lean an t-éisteoir, ní an seoladh. Má chríochnaíonn cothromóir ualaigh nó seachfhreastalaí TLS, críochnaíonn an nasc atá ag do chliant ansin, agus osclaíonn an seachfhreastalaí dara nasc chuig an gcúlra a fhéadfadh a bheith ina théacs soiléir nó ina TLS le slabhra muiníne eile. Ní fianaise iad seoladh IP príobháideach agus bealach meaitseála faoin dara nasc sin.

Tástáil an críochnphointe a bhfuil cúram dáiríre agat faoi ó thaobh istigh den VPC, leis an ainm a úsáideann an feidhmchlár seachas le IP a réitigh tú uair amháin:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Déan é sin arís le haghaidh gach léime a dtéann an t-iarratas tríd. Má tá an freagra difriúil idir an t-ainm atá dírithe ar an gcliaint agus ainm an chúlra, tá an deighilt sin aimsithe agat go beacht nár chlúdaigh an VPN riamh, agus sin an léargas atá le scríobh síos.

Taifead an toradh mar dheighiltí, ní mar bhreith

Is é aschur an tseicliosta seo tábla beag le ró amháin in aghaidh na deighilte: geata custaiméara go sprioc AWS VPN, geata go hualach oibre, ualach oibre go stór sonraí, agus aon léim seachfhreastalaí eatarthu. Insíonn gach ró cad a chosnaíonn é agus cad a bhfuil an chosaint sin ag brath air. Ní ró é "criptithe" gan mheicníocht agus gan chríochnphointe.

Ansin freagair an bunriachtanas sna téarmaí céanna ar cuireadh é. Más é an riachtanas go bhfanann sonraí rúnda go dtí go bhfaigheann an t-ualach oibre iad, ní shásaíonn an VPN ach an chéad deighilt, agus teastaíonn iompar feidhmchláir, TLS seirbhíse nó criptiú stórála ó na róanna atá fágtha, iad cumraithe agus fíoraithe ar leithligh.

Coinnigh na haithneoirí naisc, stáit na dtollán agus ábhair na dteastas sa taifead. Nuair a fhilleann duine ar an dearadh i gceann sé mhí, freagraíonn na trí dhéantán sin an cheist faoin teorainn i gceann nóiméad in ionad an argóint a atosú ó léaráid.