LAN bayan zaman AWS Client VPN guda: abin da ake turawa

Kwamfutar tafi-da-gida tana haɗawa da ƙarshen AWS Client VPN, tana isa ga keɓaɓɓiyar hanyar sadarwa, kuma komai yana da lafiya. Kwamfutar tebur a kan LAN ɗaya ba ta isa kome ba, ko da yake uwar gidan Linux ma tana da hanyar gada kuma duka injinan suna kan igiya ɗaya. Babu abin da ba daidai ba a cikin ramin; abin da ya ɓace shi ne turawa, kuma gadar yaudara ce.

Faɗaɗa zaman Client VPN zuwa LAN aikin ƙofa ne. Ba wani yanki na Ethernet ba ne da aka miƙa cikin sabis da ake sarrafawa.

Uwar gidan tana aiki amma LAN ba ta aiki

Hanyar ramin a kan na’urar Linux tana da adireshi cikin CIDR na abokin Client VPN, kuma ƙarshen ya tura hanyoyi don kewayon VPC. Buƙatar da aka yi a kan wannan na’urar zirga-zirga ce da aka ƙirƙira a wurin: tana zaɓar hanya, ta fita ta ramin kuma tana samun amsa. Wannan hanya ba ta taɓa yin mu’amala da lambar turawa, hanyar LAN ko wata ka’idar wuta da ke kula da wucewa.

Zirga-zirga daga wata na’urar LAN wani magudanar daban ne. Yana isowa kan hanyar LAN, yana bukatar hanyar da za ta nuna cikin ramin, yana bukatar turawa a kunne, yana bukatar wuta da za ta ba shi izini, kuma yana bukatar amsar ta dawo ta wannan uwar gida. Sharuɗɗa huɗu, kuma gwajin kwamfutar tafi-da-gida da ke aiki ba ya tabbatar da ɗaya. Daga teburin gazawar tana da ban mamaki: ramin yana aiki, takardun shaida suna da inganci, kuma wurin da ake nufi ba ya amsa. Lalacewar tana cikin hanyar turawa ta ƙofar, ba cikin sabis ɗin ba.

Ba kowane abokin ciniki ne zai iya zama ƙofa ba

AWS ta bayyana cewa manhajar tebur ɗinta na Client VPN ba ta goyon bayan turawar IP, kuma wasu abokan ciniki na iya. Wannan ƙuntatawa tana ƙayyade gine-gine kafin a buga kowane umarni. Idan abokin ciniki ɗaya tilo da ake da shi shine manhajar tebur ta hukuma, ƙofar Linux da ke turawa don LAN ba tsarin da za ka iya kammalawa ba ne, kuma kowane adadin masquerading ba zai canza shi ba.

Abokin ciniki wanda zai maye gurbinsa ma dole ya dace da hanyar tabbatar da ƙarshen da manufar da kake so ka aiwatar. Ƙarshen da suka dogara kan takardun shaida, jagorar suna da SAML ba sa karɓar tsarin abokin ciniki iri ɗaya, kuma abokin ciniki na ɓangare na uku da ke tabbatarwa amma ya yi watsi da hanyoyin da aka tura ba ingantawa ba ne.

Ɗauki zaɓin abokin ciniki a matsayin ɓangare na bitar ƙira. Yana ƙayyade ko tsarin turawa na LAN yana samuwa kwata-kwata, kuma yana ƙayyade wane asali ƙarshen ke gani ga kowace na’ura a bayan ƙofar. Rubuta abokin ciniki da tsarin ƙarshen da aka gwada shi da su. Canza abokin ciniki bayan wata shida na iya cire ƙarfin da ƙirar ta ɗauka ba tare da an sani ba.

Kai LAN zuwa ramin kuma ka fassara shi

Da abokin ciniki mai goyon baya a wurin, sauran aikin ƙofa ne na yau da kullum. Na’urorin LAN suna bukatar hanya don kewayon VPC da ke nuna uwar gidan Linux, kuma uwar gidan tana bukatar turawa a kunne. Idan kana so VPC ta ga zirga-zirgar a matsayin abokin ciniki da aka haɗa maimakon adireshin LAN na sabani, fassara tushen a lokacin fita.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Iyakance ka’idar ga hanyar rami da kewayon VPC, kamar yadda aka nuna a sama, maimakon masquerade duk abin da uwar gidan ke turawa. Ƙaramin ka’idar yana da sauƙin yin tunani a kansa, kuma ba ya canza zirga-zirgar da ya kamata ya riƙe ainihin adireshin tushensa ba tare da an sani ba.

Ka bar hanyar LAN ta zo da kanta idan za ka iya: zaɓin DHCP, sanarwar na’urar tura, ko hanyar tsayayya da abin da ke sarrafa LAN ya tura. Hanyar da ta kasance kawai a kan injin gwaji ɗaya za ta sa ƙirar ta zama kamar ta lalace a lokacin da wani ya gwada ta.

Amsa ma tana bukatar hanya

Da zarar buƙatar ta isa VPC, amsar dole ta dawo ta cikin waɗannan yanayin fassarar kuma ta sami hanyar LAN a kan ƙofar. Wannan ɓangaren yawanci yana aiki idan ka’idar masquerade tana wurin, domin taswirar tana rayuwa a kan uwar gidan da ya yi ta. Yana karyewa idan ɓangaren VPC yana da hanyar da ke tura amsar wani wuri, wanda shi ya sa duka hanyar CIDR ta abokin ciniki da haɗin subnet a ƙarshen suke da muhimmanci.

Duba ƙididdiga, ba ping kawai ba. Ka’idar masquerade da ke da fakiti sifili tana gaya maka cewa buƙatar ba ta taɓa isa hanyar ramin ba, wanda ke komawa ga hanyar LAN ko teburin turawa na abokin ciniki da kansa. Ka’idar da ke da fakiti amma babu amsa tana nuna ɓangaren VPC, ka’idodin izini, ko ƙungiyar tsaro da ba ta karɓar tushen da aka fassara. Karanta duka kwatance biyu kafin ka canza wani abu, domin ƙididdiga da ke ƙaruwa a gefe ɗaya kawai hanya ce ta gefe ɗaya ba a hankali ba.

Ka tuna ƙarshen sabis ne da ake sarrafawa. Babu fayil ɗin tsarin uwar gida da za a gyara kuma babu umarnin client-config da za a ƙara, don haka umarnin da aka rubuta don uwar gidan OpenVPN da ke sarrafa kanta da hanyoyin subnet na abokin ciniki na musamman ba sa miƙa. A AWS, kayan aikin sune haɗin subnet, ka’idodin izini da teburin turawa na VPC.

Haɗin kan asali shi ne bangaren da manufa dole ta amsa

Kowace na’ura a bayan ƙofar tana amfani da zaman VPN na ƙofar. Ka’idodin izini na ƙarshen suna ba da izini ga mai amfani ko ƙungiya, kuma daga ra’ayin sabis akwai mai amfani ɗaya daidai a wannan zaman. Turawar gida ba ta ninka wannan asalin zuwa tabbatarwa ta kowace na’ura ba, kuma ba ta faɗaɗa binciken yanayin na’ura zuwa firinta da ke kusurwa.

Hakan na iya zama abin karɓa, ko kuma shi ne dalilin da aka ƙi ƙirar. Ya dogara da abin da albarkatun VPC suke ɗauka game da wanda ke kira. Haɗin kai na asali wanda ya dace da tsarin izini yana da kyau; wanda a hankali ya juya zaman tabbatarwa ɗaya zuwa damar shiga dukan LAN abin lura ne da ke jiran a rubuta shi.

Idan buƙatar ita ce haɗa gabaɗayan wuri da VPC, kwatanta ƙirar wuri-zuwa-wuri mai goyon baya kafin ka faɗaɗa abokin ciniki na nesa. Ma’anar ta bambanta, kuma zaman abokin ciniki da NAT ya yi mummunan maye gurbin hanyar haɗin wuri lokacin da VPC ke bukatar fara haɗi cikin LAN.

Yanke shawara kan abokin ciniki, hanya, fassara da labarin asali a wannan tsari. Kowanne yana ƙuntata na gaba, kuma tsarin yana bayanin dalilin da uwar gidan ke aiki yayin da LAN ba ta aiki.