strongSwan a kan EC2: VPC ta kai aikin

Tunel ɗin yana aiki, na'urar ƙofar tana iya yin ping zuwa hanyar sadarwa mai nisa, amma na'urar aikace-aikacen da ke gefenta ba ta isa ko'ina ba. Babu abin da ya lalace. Gwajin da ya yi nasara ya fara ne a kan na'urar VPN, kuma bai taɓa tambaya ko wannan na'urar za ta iya ɗaukar wani adireshin tushe daban ta hanyar dangantakar IPsec ɗaya ba. Wannan jagorar tana rufe wannan gibin cikin matakai huɗu, cikin tsarin da zai sa kowane gazawa a bayyane.

Ka rubuta adiresoshin huɗu tukuna

Kowane mataki da ke ƙasa yana nuni da waɗannan, don haka cika su don asusunka kafin ka taɓa teburin hanya.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Misalin yana ɗaukan ingantaccen haɗin IPsec na tushen manufa da ke aiki, da kwararar da ke kiyaye tushe. Wannan ba abokin ciniki ne na nesa mai NAT da ke aron adireshi ɗaya da aka ba shi ba, kuma wannan bambancin ne ke ƙayyade ko za a canza zaɓuɓɓukan.

Mataki 1: ba da hanya ga cibiyar aikin

Teburin hanyar da aka haɗa da cibiyar aikin a zahiri yana buƙatar hanya ga prefix mai nisa da ke nuni ga mu'amalar hanyar sadarwa ta ƙofar. Hanyar baƙo da aka sanya a cikin na'urar ba shi ne shigarwa a cikin wannan teburin hanyar AWS ba, kuma babu adadin saitin strongSwan da zai ƙirƙira ɗaya.

Littafin jagora na AWS game da hanya ta na'ura yana bayanin manufofin mu'amalar hanyar sadarwa da buƙatar duba tushe/manufa na na'urar da ke turawa. Ka iyakance wannan canjin duba ga aikin ƙofar, kuma ka bar na'urorin aikace-aikace na yau da kullum su zauna.

Kada ka maye gurbin hanyar gida ta VPC ko kowace shigarwa da ke akwai don samun wuri ga hanyar sadarwa ɗaya da aka yarda da ita. Ka duba abin da aka haɗa kuma yana aiki maimakon abin da shafin console ke nunawa ga teburin hanyar da babu wanda ke amfani da shi. Tebur biyu da suka yi kama na iya samun haɗi daban-daban. Wanda ke da muhimmanci shi ne wanda aka haɗa cibiyar aikin da shi.

Mataki 2: kunna turawa a kan baƙo

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Dole ne kernel ya tura, kuma dole ne bangon wuta na na'urar ya yarda da wucewa. Ka ƙara ka'idojin turawa da aka nufa don prefix na aiki da na nesa maimakon karɓar komai, kuma ka tabbatar cibiyar ƙofar tana riƙe da hanyar jigilar da za a iya amfani da ita don nata zirga-zirga.

Ƙungiyoyin tsaro su ne wurin da wannan mataki yakan tsaya. Na'urar tsaka-tsaki ba ta gado halin nuni na ƙungiyar tsaro na sadarwar na'urori kai tsaye ba, don haka ka'idar da aka kwafa daga misalin Client VPN da aka sarrafa ba za ta taɓa dacewa ba. Ka duba ƙungiyar tsaro da ACL na cibiyar a kan hanyar ainihi, a duka biyun.

Mataki 3: faɗaɗa zaɓuɓɓukan zuwa ainihin tushe

Manufar da ke rufe 10.60.1.10/32 kawai a gefen AWS tana bayanin nasarar da ta fara daga ƙofar ba tare da rufe 10.60.2.20 ba. Hanya zuwa manufa mai nisa ba ta faɗaɗa zaɓin zirga-zirga ba, kuma wannan shi ne rabin na biyu na wannan mamaki.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Idan tsarin da aka amince da shi yana kare dukkan VPC, dole ne duka ɓangarorin biyu su karɓi 10.60.0.0/16 da 10.90.0.0/24. Idan yana kare aiki ɗaya, yi amfani da wannan ƙaramin prefix da gangan. Ko ta yaya, ka duba manufar CHILD-SA da aka sanya, domin saitin da ka gyara da abokin da ya taƙaita shi daban ba yarjejeniya ɗaya ba ne.

Dole ne wurin nesa kuma ya yi wa amsoshin tushen VPC da aka adana hanya ta ƙofar IPsec da aka nufa. Ka riƙe keɓewar NAT da aka tallafa don zirga-zirgar da aka kare a inda akwai wasu ka'idojin NAT na tushe; mayar da aikin da ba a yarda da shi ba zuwa adireshin na'urar da aka yarda da shi wata yarjejeniya ce ta ainihi, ba gajeriyar hanya zuwa damar da kake so ba.

Mataki 4: tabbatar, sannan ka koma baya idan ya zama dole

Ka gwada daga aikin da kansa da sabon aikin aikace-aikace da aka yarda da shi, sannan ka maimaita da manufa da ya kamata a ware. Ka rubuta adireshin tushe da sabis ɗin nesa ke gani da hanyar dawowa da yake amfani da ita. Ping na ƙofar ko koren matsayin IKE ba shi ne wannan gwajin ba.

Idan aikin har yanzu yana gazawa yayin da ƙofar ke aiki, ka koma baya cikin matakan bisa tsari: zaɓi, sannan turawa da ƙungiyoyin tsaro, sannan teburin hanyar da aka haɗa. Kowanne yana da alama daban, kuma yin hasashe yana tsallake wanda yake kuskure a zahiri.

Komawa baya yana juya wannan tsari. Ka cire hanyar cibiyar aikin a ƙarshe, bayan ka maido da zaɓuɓɓukan da suka gabata, don kada ka bar cibiyar da ke nuni ga ƙofar da ba ta ƙara kare tushenta ba. Mai masaukin kansa zai iya hidima fiye da na'urar ƙofar idan waɗannan yarjejeniyoyin sun tabbata, kuma Site-to-Site VPN da AWS ke sarrafawa wani tsarin aiki ne daban inda strongSwan zai iya zama a gefen ƙofar abokin ciniki maimakon.