Cén fáth a scaoileann AWS Client VPN trácht gan bealach comhoiriúnach

Ní sheolann an críochphointe paicéad ach amháin nuair a chlúdaíonn a thábla bealaí an ceann scríbe. Léigh na bealaí, dearbhaigh réimíreanna le for_each, fíoraigh an bealach ar ais.

Tugann Client VPN seoladh don chliant, críochnaítear an chroitheadh láimhe, agus ní théann an nasc aon áit fós. Sula dtéann tú i dteagmháil le teastais nó le leaganacha cliant, féach ar thábla bealaí an chríochphointe féin. Ní sheolann críochphointe AWS Client VPN paicéad ach amháin nuair a chlúdaíonn ceann dá bhealaí réimír an chinn scríbe; mura n-oireann aon rud, caitear an paicéad ag an gcríochphointe agus ní fheiceann an t-óstach sprice SYN riamh.

Is cinneadh seolta é sin, ní cinneadh fíordheimhnithe. Tarlaíonn sé tar éis an tollán a bheith suas agus tar éis na rialacha údaraithe a mheas, agus sin an fáth ar féidir le teastas bailí agus grúpa bailí nasc marbh a chruthú fós.

Ní sheolann an críochphointe ach an méid a chlúdaíonn a thábla bealaí

Is éard atá i ngach bealach CIDR cinn scríbe móide an fo-líonra ar cheart an trácht a fháil. Cuireann an críochphointe ceann scríbe an chliaint i gcomparáid leis an liosta sin, roghnaíonn sé an iontráil chomhoiriúnach agus seolann an paicéad isteach sa fho-líonra gaolmhar. Ciallaíonn gan iontráil gan chéad chéim eile.

Tabhair faoi deara cad nach bhfuil sa bhealach. Ní hiontráil í i dtábla bealaí an VPC, agus ní údaraíonn sé aon rud. Cinneann rialacha údaraithe an féidir le grúpa ceann scríbe a shroichint; cinneann bealaí an bhfuil áit ag an gcríochphointe chun an paicéad a sheoladh. Caithfidh an dá rud teacht le chéile, agus teipeann orthu le hairíonna éagsúla, mar sin cuireann buille faoi thuairim faoi cé acu atá briste tráthnóna amú.

Is é an mí-oiriúnú clasaiceach VPC piaraí. Cuireann duine bealach le 10.20.0.0/24 agus an t-óstach ina chónaí i 10.20.4.0/24, mar sin titeann an seoladh lasmuigh de gach iontráil. Taispeánann gabháil ar thaobh an chliaint SYNanna arís agus arís eile gan freagra, agus ní thaispeánann logaí na sprice aon rud ar chor ar bith.

Léigh an liosta bealaí roimh an teastas

Is réad ar leith iad bealaí an chríochphointe, mar sin fiafraigh díobh go díreach in ionad tábla an VPC a léamh:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 --query 'Routes[].{Dest:DestinationCidr,Target:TargetSubnet,Origin:Origin}'

Tóg an seoladh cruinn agus fad na réimíre ón gcliant atá ag teip, agus ansin seiceáil an clúdach carachtar ar charachtar. Baineann meaitseáil na réimíre is faide, mar sin ní shábhálann bealach níos leithne thú nuair a threoraíonn ceann níos cúinge áit eile.

Acmhainn amháin in aghaidh an chinn scríbe le for_each

Sraonann bloic bealaí scríofa de láimh an nóiméad a chuireann duine réimír leis sa chonsól. Coinnigh na cinn scríbe i léarscáil agus cruthaigh acmhainn amháin in aghaidh an eochair, ionas go bhfanann gach cur leis nó baint amach scoite.

variable "client_vpn_routes" {
  type = map(string)
  default = {
    "10.20.0.0/16"  = "subnet-0aa11bb22cc33dd44"
    "172.31.0.0/20" = "subnet-0aa11bb22cc33dd44"
  }
}

resource "aws_ec2_client_vpn_route" "this" {
  for_each               = var.client_vpn_routes
  client_vpn_endpoint_id = var.client_vpn_endpoint_id
  destination_cidr_block = each.key
  target_vpc_subnet_id   = each.value
  depends_on             = [aws_ec2_client_vpn_network_association.this]
}

Coinnigh an spleáchas ar an gcomhlachas líonra. Teastaíonn fo-líonra comhlachaithe ó bhealach, mar sin caithfidh apply a chruthaíonn an dá rud an comhlachas a ordú ar dtús, agus gan an tagairt sin tá Terraform saor chun an bealach a thriail ar dtús. Ansin léigh an plean: ba cheart líon na mbealaí a chuirtear leis a bheith comhionann leis na réimíreanna a chuir tú leis. Má athsholáthraíonn an plean an críochphointe freisin, tá acmhainn an chríochphointe scríofa go mícheart, agus dícheanglaíonn a cur i bhfeidhm gach cliant ceangailte.

Críochphointe nach ndearna tú a ghlacadh chugat

Faigheann formhór na bhfoirne críochphointe a tógadh sa chonsól le hoidhreacht, agus sin an fáth nach bhfuil aon chód bealaí ann. Ná tóg an dara críochphointe díreach chun bealaí a fháil isteach in Terraform.

Iompórtáil ina ionad sin, nó cuir na ids isteach mar athróga agus fág na réada oidhreachta gan bhainistíocht. Teastaíonn formáid aitheantóra ón iompórtáil a dhoiciméadaíonn an soláthraí do gach cineál acmhainne; ionchódaíonn sé an críochphointe, réimír an chinn scríbe agus an fo-líonra sprice. Cóipeáil an tsreang sin ó dhoiciméadú na hacmhainne in ionad í a chumadh ó chuimhne, rith plean, agus ná bí ag súil le haon athruithe sula gcuireann tú aon rud nua leis.

Riantaigh an paicéad san ord a thaistealaíonn sé

Nuair a bhíonn an bealach ann agus an nasc ag teip fós, siúil an cosán in ord in ionad buille faoi thuairim a thabhairt ag an gciseal uachtarach.

  1. Bealach: clúdaíonn réimír an ceann scríbe agus díríonn sí ar fho-líonra atá comhlachaithe leis an gcríochphointe.
  2. Údarú: ceadaíonn riail údaraithe an ceann scríbe sin do ghrúpa an úsáideora. Ní thugann bealach amháin rochtain riamh.
  3. Bealach ar ais: seolann tábla bealaí an fho-líonra sprice freagraí ar ais i dtreo an chríochphointe, agus ceadaíonn an grúpa slándála an port ó linn seoladh an chliaint.
  4. Feidhmchlár: oscail nasc TCP fíor ón gcliant, ansin deimhnigh go dtaispeánann logaí na sprice an seoladh foinse a bhfuiltear ag súil leis ón linn.

Athraigh réimír amháin in aghaidh an apply, athléigh an liosta bealaí ina dhiaidh sin, agus taifead an ceann scríbe, an riail údaraithe agus an bealach ar ais le chéile. Ba cheart don chéad duine eile a dhéanann dífhabhtú ar nasc diúltaithe tosú ón bhfardal sin, ní ó theoiric faoi theastais.

Ailt ghaolmhara