EC2 પર Access Server ફુલ ટનલ: એક ચેકબોક્સ કેમ પૂરતું નથી

EC2 ઇન્સ્ટન્સ પર સ્રોત અને લક્ષ્ય તપાસ બંધ કરવી એ Access Server ના ઇન્ટરનેટ એગ્રેસ વિશેના પ્રશ્નોનો સૌથી વધુ પુનરાવર્તિત જવાબ છે, અને એકલું તે તમારા ક્લાયન્ટ માટે કંઈ કરતું નથી. આ તપાસ AWS ની ફોરવર્ડિંગ મર્યાદા છે: તે ઇન્સ્ટન્સને એવા પેકેટ સ્વીકારવા દે છે જેનો સ્રોત કે લક્ષ્ય તેનું પોતાનું સરનામું નથી. તે Access Server ક્લાયન્ટને ઇન્ટરનેટ ટ્રાફિક ટનલ દ્વારા મોકલવા કહેતું નથી, ઉપરની તરફ રૂટ બનાવતું નથી અને NAT ઉમેરતું નથી. ભ્રમ એ છે કે ચેકબોક્સ જ સુવિધા છે.

તપાસ ખરેખર શું નિયંત્રિત કરે છે

દરેક EC2 નેટવર્ક ઇન્ટરફેસ પોતાને સંબોધિત ન હોય તેવો ટ્રાફિક ફેંકી દે છે, સિવાય કે ઇન્સ્ટન્સ રાઉટર, NAT ઉપકરણ કે VPN ગેટવે તરીકે કાર્ય કરે અને તમે તે તપાસ બંધ કરો. તેને બંધ કરવાથી ફોરવર્ડ કરવાની પરવાનગી મળે છે. પરવાનગી એ રૂપરેખાંકન નથી: ઇન્સ્ટન્સને હજુ પણ ઇન્ટરનેટ ગેટવે કે NAT ઉપકરણ સુધીનો રૂટ જોઈએ, VPC રૂટ ટેબલને હજુ પણ અનુરૂપ એન્ટ્રી જોઈએ, સિક્યોરિટી ગ્રુપે હજુ પણ ફ્લોને મંજૂરી આપવી પડે, અને સર્વરે હજુ પણ પરત ટ્રાફિકનું ભાષાંતર કે રૂટિંગ કરવું પડે.

કંઈપણ બદલતા પહેલાં aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck વડે વર્તમાન મૂલ્ય ચકાસો. જો તમે કન્સોલમાં બદલો, તો એટલા માટે બદલો કે ઇન્સ્ટન્સ બીજા માટે ફોરવર્ડ કરે છે, એટલા માટે નહીં કે કોઈ ક્લાયન્ટ ઇન્ટરનેટ સુધી પહોંચતું નથી.

ક્લાયન્ટ રૂટિંગ નીતિ Access Server ની છે

Access Server 3 માં Access Controls ખોલો અને Internet Access and DNS વિભાગ શોધો. Internet Gateway પસંદગી ફુલ ટનલ કે વિભાજિત ટનલ આપે છે; ફુલ ટનલ ક્લાયન્ટને તેનો ડિફોલ્ટ ટ્રાફિક VPN માં રૂટ કરવા કહે છે, વિભાજિત ટનલ ઇન્ટરનેટ ટ્રાફિકને ક્લાયન્ટના સ્થાનિક પથ પર રહેવા દે છે. ઉત્પાદનના વર્કફ્લો દ્વારા સાચવો અને લાગુ કરો, પછી પરીક્ષણ ક્લાયન્ટ ફરી જોડો, કારણ કે નીતિ જોડાણ સમયે પહોંચાડાય છે.

જૂની આવૃત્તિઓ અલગ મેનુ વાપરે છે અને કેટલાક Community OpenVPN બિલ્ડમાં સમકક્ષ નિયંત્રણ નથી. અસ્તિત્વમાં ન હોય તેવી સ્ક્રીન શોધતા પહેલાં સ્થાપિત મુખ્ય આવૃત્તિ ચકાસો. પછી પુષ્ટિ કરો કે ક્લાયન્ટને શું મળ્યું: ફુલ ટનલ પ્રોફાઇલે ટનલ દ્વારા ડિફોલ્ટ રૂટ સ્થાપિત કરવો જોઈએ, અને વિભાજિત ટનલ પ્રોફાઇલે તે ન કરવું જોઈએ.

ટનલ પછી પેકેટને ટ્રેસ કરો

ક્લાયન્ટ ઇન્ટરનેટ ટ્રાફિક ટનલમાં મોકલે પછી સર્વરે તેને ફોરવર્ડ કરવો પડે અને સામાન્ય રીતે ભાષાંતર કરવું પડે. Access Server પોતાના NAT અને રૂટિંગ નિયમોનું સંચાલન કરે છે, તેથી જનરેટ થયેલી ફાઇલોમાં Community OpenVPN નિયમો ઉમેરવાને બદલે અસરકારક રૂપરેખાંકન વાંચો; બિનસંચાલિત નિયમો આગલા ઉત્પાદન અપડેટમાં ઓવરરાઇટ થાય છે અથવા અથડાય છે. sudo iptables -t nat -L -n -v કે nftables નું સમકક્ષ બતાવે છે કે ખરેખર શું ભાષાંતર થઈ રહ્યું છે.

AWS ની બાજુ અલગ પથ છે. જાહેર સબનેટમાંનું ઇન્સ્ટન્સ સીધું ઇન્ટરનેટ ગેટવે સુધી પહોંચે છે અને તેનું જાહેર સરનામું કે ઇલાસ્ટિક IP રાખે છે. ખાનગી સબનેટમાંના ઇન્સ્ટન્સને NAT ગેટવે કે NAT ઇન્સ્ટન્સ સુધીનો રૂટ જોઈએ, અને NAT ઉપકરણને પોતાનો ઇન્ટરનેટ ગેટવે સુધીનો રૂટ જોઈએ. VPC સાથે ઇન્ટરનેટ ગેટવે જોડવાથી પોતે કોઈ ખાનગી સ્રોતને જાહેર પરત સરનામું મળતું નથી, તેથી જ એ જ Access Server સેટઅપ એક સબનેટમાં કામ કરે છે અને બીજામાં શાંતિથી નિષ્ફળ જાય છે.

ઇન્સ્ટન્સના સબનેટ સાથે જોડાયેલું રૂટ ટેબલ ચકાસો, ફક્ત VPC નું મુખ્ય ટેબલ નહીં. સબનેટ સંગઠનો મુખ્ય ટેબલને વટાવે છે, અને જૂનું સંગઠન એ સામાન્ય કારણ છે કે કામ કરતું રૂપરેખાંકન પુનર્નિર્માણ પછી અટકી જાય છે.

IP એગ્રેસ અને DNS અલગ રાખો

એક જ ક્લાયન્ટ એપમાંથી પહેલાં સરનામાનું શાબ્દિક સ્વરૂપ અને પછી નામ ચકાસો. જો curl -4 https://checkip.amazonaws.com જાહેર સરનામું પરત આપે પણ હોસ્ટનામ નિષ્ફળ જાય, તો ટનલ અને NAT પથ કામ કરે છે અને સમસ્યા DNS માં છે: પુશ કરેલો રિઝોલ્વર, ક્લાયન્ટની રિઝોલ્વર સ્થિતિ, કે રિઝોલ્વરને અવરોધતું સિક્યોરિટી ગ્રુપ. Access Server ના DNS સેટિંગ્સ એ જ Internet Access વિસ્તારમાં છે, પણ તે અલગ કોડ પથ લે છે.

પરત મળેલા સરનામાની તમે ઇચ્છેલા એગ્રેસ સાથે સરખામણી કરો. જો તે ઇન્સ્ટન્સનું જાહેર સરનામું હોય, તો ટ્રાફિકનું ભાષાંતર ઇન્સ્ટન્સ કરે છે; જો તે NAT ગેટવેનું સરનામું હોય, તો ખાનગી સબનેટ પથ વપરાય છે. બંને સાચા હોઈ શકે. તમે એ નિષ્કર્ષ પર ન આવી શકો કે સર્વર પરનું બ્રાઉઝર ક્લાયન્ટ ફોરવર્ડિંગ સાબિત કરે છે.

એક ચેકબોક્સ તપાસ બંધ કરવા ન દો

IPv6 અલગ નિર્ણય છે. IPv4 માટેની ફુલ ટનલ નીતિ એ વિશે કંઈ કહેતી નથી કે IPv6 વહન થાય છે, અવરોધાય છે કે લીક થાય છે, અને ડ્યુઅલ-સ્ટેક ક્લાયન્ટ IPv4 ટનલમાં હોય ત્યારે તેનો સ્થાનિક IPv6 પથ વાપરવાનું ચાલુ રાખી શકે છે. તમને ખરેખર મહત્ત્વનું હોય તે સરનામા કુટુંબનું પરીક્ષણ કરો, અને બીજાને બંધ કરવું જોઈએ કે નહીં તે સ્પષ્ટ રીતે નક્કી કરો.

અંતે, ડિસ્કનેક્ટેડ સ્થિતિનું પરીક્ષણ કરો. ફુલ ટનલ પસંદગી જોડાયેલા હોય ત્યારેની રૂટિંગ નીતિ વર્ણવે છે, ટનલ પડે ત્યારે શું થાય તે નહીં. જો જરૂરિયાત એ હોય કે VPN ની બહાર કોઈ ટ્રાફિક ન નીકળે, તો તે kill-switch અને ફાયરવોલનો પ્રશ્ન છે, અને તેને રૂટ ટેબલમાંથી અનુમાનને બદલે પોતાનું પરીક્ષણ જોઈએ.