Cén fáth nach féidir le EC2 do ríomhaire glúine AWS Client VPN a shroicheadh
Aistríonn Client VPN foinsí IPv4 an chliaint chuig comhéadan an phointe deiridh. Sin é an fáth go n-oibríonn an freagra agus nach n-oibríonn nasc nua ó EC2.
Sroicheann ríomhaire glúine atá ceangailte trí AWS Client VPN feidhmchlár EC2 gan deacracht. Ansin triailfidh tú an treo eile, ó EC2 chuig an seoladh a sannadh don chliant, agus déanann sé hangáil nó diúltaítear dó. Is annamh gurb é an neamhshiméadracht sin riail ghrúpa slándála atá ar iarraidh. Ar phointe deiridh Client VPN a bhfuil baint aige le fo-líonraí VPC, aistríonn AWS foinsí IPv4 an chliaint chuig comhéadan líonra an phointe deiridh, mar sin níl aon seoladh VPC isteach ann a dhéanann ionadaíocht ar do ríomhaire glúine.
Tosaigh leis an méid a thaispeánann an gabháil
Déan gabháil ar an óstach EC2 agus an cliant ag ceangal, agus léigh an seoladh foinse a fheiceann an feidhmchlár i ndáiríre. Más é comhéadan an phointe deiridh ar thaobh an VPC é seachas seoladh as an linn chliaint, tá an aistriú deimhnithe sula n-athraíonn tú aon riail amháin.
Is raon leithdháileadh é an linn chliaint, ní fo-líonra a bhfuil bealach fillte aige. Is sa idirdhealú sin a théann formhór na bhfiosrúchán seo amú.
An t-aistriú a mhíníonn an neamhshiméadracht
Meascann trí shruth lena chéile, agus níl ach ceann amháin díobh mar an ceann a thriailtear.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Míníonn cur síos ar chomhpháirteanna Client VPN go n-aistrítear foinsí IPv4 an chliaint chuig comhéadan an phointe deiridh, agus is leor sin chun a fheiceáil cén fáth nach bhfuil aon rud ag an meánró le meaitseáil.
Teastaíonn bealach, céim réitithe seolta agus cinneadh údaraithe ó nasc nua. Ní sholáthraíonn staid aistrithe ó sheisiún duine eile aon cheann de na trí.
Cén fáth nach nasc nua é freagra
Meaitseáiltear freagra TCP le hiontráil atá ann cheana, agus is é sin an fáth go n-oibríonn an bealach fillte gan aon riail isteach ar chor ar bith. Níl aon iontráil le meaitseáil ag SYN úr ó óstach EC2, mar sin tagann sé chun bheith ina ghnáthiarracht amach chuig ceann scríbe nach bhfuil a fhios ag an VPC conas a shroicheadh.
Is é sin freisin an fáth a bhfuil sé míthreorach cur síos a dhéanamh air seo mar thrácht nach dtéann ach i dtreo amháin. Sreabhann trácht fillte go leanúnach sna seisiúin seo. Is é an tús an chuid nach bhfuil bealach aici.
Cad a bhriseann seisiún fós ar chóir dó oibriú
Tá tábhacht ag grúpaí slándála, ACLanna líonra agus balla dóiteáin an ríomhaire ghlúine féin do na naisc ar chóir dóibh éirí. Is é ping a theipeann an rud is lú a insíonn, mar is minic a bhíonn polasaí ICMP ar leithligh ón bpolasaí TCP a bhfuil suim agat ann.
Scríobh na rialacha sin de réir na foinse aistrithe, ní de réir sheoladh an chliaint. Is iad na rialacha atá ceangailte leis an seoladh nach bhfeictear riamh ar an líonra an teip féinchruthaithe is coitianta sa dearadh seo.
Nuair a chaithfidh an VPC an comhrá a thosú
Má chaithfidh seirbhís fógra a thabhairt do stáisiún oibre, iompaigh an treo agus lig don chliant cainéal amach buan a choinneáil a dtugann an tseirbhís freagra air. Más gá go mbeadh líonra iargúlta iomlán inrochtana ón VPC, roghnaigh ailtireacht a fhoilsíonn a réimíreanna agus a polasaí rochtana seachas glacadh leis go ndéanann Client VPN é sin cheana féin. Is tríú cás, níos cúinge, é rochtain cliant-go-cliant lena réada bealaigh agus údaraithe féin. Ní ticbhosca ar an bpointe deiridh atá ann cheana é aon cheann díobh seo.
Coinnigh scóip na míniúcháin IPv4 macánta freisin. Scarann doiciméadú reatha AWS IPv6, áit nach gcuirtear an t-aistriú sin i bhfeidhm, agus múnlaí ceangail eile a dhéanann ródú ar bhealach difriúil.
Tástáil i dtrí chéim lipéadaithe: osclaíonn an cliant seisiún ceadaithe, freagraíonn seirbhís an VPC an seisiún sin, agus osclaíonn óstach VPC seisiún nua i dtreo an chliaint. Go n-éireodh leis an gcéad dá cheann agus go dteipfeadh ar an tríú ceann is gnáthchruth an dearaidh seo é, ní locht é a chaithfí a leanúint le rialacha balla dóiteáin.