An haɗa AWS Client VPN, amma EC2 har yanzu ba ya amsa

Kwamfuta ta ta ce an haɗa. Abokin ciniki na AWS Client VPN ya nuna koren yanayinsa, endpoint ya yi rijistar zama, kuma har yanzu ba zan iya buɗe tashar MongoDB a kan EC2 a cikin ƙaramin hanyar sadarwa na sirri ba. Babu wani abu da ya lalace a fili: takardar shaidar tana aiki, bayanin ya fito daga na’urar kulawa, kuma ramin yana ɗaukar zirga-zirga. Laifin nawa ne, domin ina karanta haɗa a matsayin an ba da izini.

Shiga yana amsa tambaya ɗaya kawai: shin wannan asalin zai iya kafa zama? Duk abin da ya biyo baya dokoki daban-daban ne ke yanke shawara, waɗanda ba sa ganin takardar shaidarka. Zaman da ya tabbatar da kansa da fakitin da ya iso nasarori biyu ne daban, kuma ratar da ke tsakaninsu ita ce inda yawancin rahotannin irin VPN yana aiki amma mai masaukin ba ya isa suke zaune.

Binciken da ke ƙasa shi ne tsarin da nake amfani da shi yanzu.

Abin da zaman da aka haɗa yake tabbatarwa da gaske

A lokacin musafaha endpoint yana tabbatar da takardar shaidar abokin ciniki da ajiyar amincewarsa, ko kuma yana tura mai bincike zuwa ga mai ba da asalinka idan an saita SAML. Idan hakan ya wuce, abokin ciniki yana samun adireshi daga CIDR na abokin ciniki na endpoint kuma na’urar kulawa tana nuna haɗi mai aiki. Babu wani lokaci a wannan musayar da wani ya tambaye ko za ka iya isa 10.0.4.17 a tashar 27017.

Izinin zuwa wani wuri abu ne daban a kan endpoint. Kowace kwarara ana kwatanta ta da dokokin izini, kuma kowanne yana haɗa CIDR na wurin da ƙungiyar da aka ba dokar. Idan babu wani doka da ta rufe wurin, endpoint yana karɓar zaman kuma yana zubar da zirga-zirga. Babu tuta, babu madaidaicin sake haɗawa, kuma babu abin da ke cikin fuskar abokin ciniki da ya ce an ƙi.

Kwatanta dokar izini da albarkar, ba da VPC ba

Lissafa dokokin kuma ajiye su gefen adireshin da injin yake da shi da gaske:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Fitowar tana nuna CIDR na wuri da ID na ƙungiya ga kowace doka. Akwai gazawa biyu a ɓoye. Dokar na iya ba da izinin 10.0.0.0/16 yayin da injin yake cikin VPC da aka haɗa a 10.1.0.0/16; hanyar peering tana nan, amma babu wanda ya rubuta dokar izini ga rukuni na biyu. Ko kuma dokar tana nuni ga ƙungiyar jagorar da mai amfani yake cikinta a jagorar amma ba a ƙungiyar da endpoint yake tantancewa ba.

Rubuta mafi ƙunƙuntar doka da ta rufe wurin, kuma ƙara ta biyu ne kawai idan da gaske ana buƙatar wani CIDR na biyu. Dokar faɗi 0.0.0.0/0 daga farkon sauri tana aiki, kuma shi ya sa take wanzuwa har cikin samarwa kuma tana ɓoye samfurin.

Tebura biyu na hanya ne ke yanke shawarar ko fakitin zai motsa

Hanyar endpoint tana daidaita CIDR na wuri zuwa ɗaya daga cikin ƙananan hanyoyin da endpoint ke da alaƙa da su. Rabin hanya ke nan. Tebur ɗin hanyar ƙaramin hanyar kanta dole ne ya san yadda za a tura fakitin gaba, kuma hakan yana da muhimmanci a lokacin da wurin yake bayan haɗin peering, transit gateway, ko yanki na gida da za a iya isa ta ramin site-to-site.

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Nemo hanyar da wurinta ya dace da CIDR na albarkar kuma manufarta ita ce ƙaramin hanya mai alaƙa. Idan hanyar babu, ƙara ta. Idan tana nan kuma mai masaukin har yanzu shiru, ratar tana gefen VPC, don haka kwatanta da tebur ɗin hanyar ƙaramin hanyar haɗin.

Saiti ɗaya na gefen abokin ciniki yana karya tafiyar ba tare da karya ramin ba: bayanin da ke ɗauke da route-nopull. Umarnin yana gaya wa abokin ciniki da ya dogara da OpenVPN ya yi watsi da hanyoyin da uwar garken ke turawa, saboda haka fuskar tana tashi da adireshin endpoint kawai kuma wurin ba shi da hanya kwata-kwata. Duba da ip route show a Linux ko netstat -rn a macOS ko akwai hanya ta fuskar tun. Idan babu, cire route-nopull daga bayanin da aka fitar kuma sake haɗawa domin a yi amfani da hanyoyin da aka tura.

Ƙungiyoyin tsaro ba sa ganin adireshin abokin cinikinka

Wannan shi ne ɓangaren da na yi kuskure da shi tsawon la’asar. Ga endpoint na IPv4 da ke da alaƙa da ƙaramin hanya, sabis ɗin yana fassara adireshin tushen abokin ciniki zuwa adireshin fuskar cibiyar sadarwar endpoint a cikin wannan ƙaramin hanya. Fakitin da ya isa injin ba ya ɗauke da adireshin da abokin cinikinka ya nuna, don haka dokar ƙungiyar tsaro da ta ba da izinin tafkin abokin ciniki, a ce 172.16.0.0/22, ba ta dace da kome ba.

Ba da izinin tashar daga ƙungiyar tsaro ta endpoint, wadda ke manne da fuskar haɗin, maimakon daga CIDR na abokin ciniki. Magana da ƙungiyar ta fi ƙarfin rubuta adireshi kai tsaye, domin adireshin fuskar ba naka ba ne don sarrafawa. ACL na cibiyar sadarwa ba su da yanayi, don haka inda akwai shigarwar musamman, dole ne duka alkibla ta shiga da ta fita su ba da izinin kwarara.

Haɗa da adireshin sirri na injin kuma. IP na jama’a yana fitar da fakitin daga VPC kuma ya dawo da shi ta wata hanya da wasu dokoki, don haka gwajin adireshin jama’a ba ya ce komai game da hanyar sirri.

Tsarin keɓewa da ke tsayawa a gazawar farko

Bi waɗannan a tsari kuma tsaya inda ɗaya ya kasa. Kowace mataki yana watsi da wani Layer maimakon duka.

1. Tabbatar da wane asali zaman ya yi amfani da shi da wace ƙungiya endpoint yake tantancewa. Takardar shaidar daga ajiyar amincewa ɗaya ba ita ce babban ɗan wasa ɗaya da sanarwar SAML daga jagora ba.
2. Tabbatar da dokar izini ta rufe CIDR na albarkar ga wannan ƙungiyar.
3. Tabbatar da hanyar endpoint tana nan kuma tana nufin ƙaramin hanya mai alaƙa, sannan tabbatar da tebur ɗin hanyar ƙaramin hanyar zai iya turawa gaba.
4. Tabbatar da ƙungiyar tsaro ta ba da izinin tashar daga fuskar endpoint maimakon daga tafkin abokin ciniki.
5. Gwada daga cikin VPC, da zaman SSM a kan wani injin a cikin wannan ƙaramin hanya, don raba matsalar manhaja daga matsalar hanyar abokin ciniki.

Idan matakan ba su yanke hukunci ba, wannan tebur ne na dogaro da shi:

Bayanan asusu biyu suna haifar da alamomi da suke kama da gazawar izini. Kowanne mai amfani yana buƙatar takardar shaidar abokin ciniki daban; raba ɗaya tsakanin injuna biyu yana sa zama su kore juna, kuma sakamakon shine madaidaicin sake haɗawa maimakon ƙi. Lokacin da aka ƙirƙiri sabon endpoint, na’urar kulawa tana nuna sunan DNS da wasu nau’ikan abokin ciniki suke karɓa ne kawai da prefix ɗin da ba a zaɓa ba da aka nuna a shafin endpoint, don haka kwafi cikakken sunan maimakon sake gina shi.

Idan mataki na biyar ya sa ka makale, jawo log ɗin haɗin endpoint kuma ka karanta shigarwar izini kafin ka canza kome. Log ɗin yana ambaton wurin da aka bincika da dokar da ta dace ko ba ta dace ba, kuma hakan yana rage tambayar mai Layer huɗu zuwa amsa ɗaya.