EC2 בין אזורי זמינות: לבדוק את הניתוב לפני VPN

לפני התקנת תוכנת VPN בין שני מופעי EC2, ענו על שאלה אחת: האם הם באותו VPC? אם כן, הנתיב הפרטי כבר קיים והצבה בין אזורים אינה משנה זאת. רוב העבודה במצב זה היא לאשר איזו טבלת ניתוב כל תת-רשת באמת משתמשת, ואז לברר אם התקלה הייתה בכלל בעיית ניתוב. מנהרה היא בדרך כלל התשובה הלא נכונה לשאלה המסוימת הזו.

בדיקה 1: אותו VPC או VPC שונים

VPC הוא אזורי ומקיף אזורי זמינות, בעוד שכל תת-רשת שייכת בדיוק לאזור אחד. שני מופעים באזורים שונים של אותו VPC נמצאים עדיין בתוך אותה תחום ניתוב פרטי.

VPC שונים לעולם אינם מקבלים נתיב פרטי רק מפני שהם חולקים אזור או תווית אזור. מקרה כזה דורש חיבור נתמך ועבודה נפרדת על נתיבים והרשאות, וזו החלטה נפרדת.

בדיקה 2: מה אומרות טבלאות הניתוב של תת-הרשתות

כתבו את הפריסה עם ערכים אמיתיים. VPC בכתובת 10.60.0.0/16 עם תת-הרשתות 10.60.1.0/24 ו-10.60.2.0/24 נותן למופעים 10.60.1.10 ו-10.60.2.20 נתיב דרך הנתיב המקומי של ה-VPC.

לאחר מכן בדקו את הטבלאות המשויכות לשתי תת-הרשתות, ולא רק את זו שמצאתם ראשונה. נתיב בדיקה או התקן ספציפי יותר יכול לעקוף את נתיב הבסיס, ויעד הנתיב המקומי עצמו יכול להיות מוחלף בתצורות חדשות יותר. נתיב מקומי שנראה אי-שם בקונסולה אינו מוכיח ששתי עומסי העבודה משתמשים בו.

השתמשו בכתובות ובשמות הפרטיים שה-VPC באמת מקצה. כתובת פרטית אינה חייבת להתחיל ב-10, והמצאת כתובת מהזיכרון היא הדרך לאבחן בטעות סביבה שעובדת.

בדיקה 3: ניתוב או הרשאה

ניתוב רק מביא את החבילה לממשק הרשת של היעד. קבוצת האבטחה של היעד עדיין צריכה לאפשר את המקור ואת השירות, כללי היציאה של המקור חייבים לאפשר את הבקשה, וכל ACL רשת חייב לאפשר את שני הכיוונים משום ש-ACL אינם שומרים מצב.

מעבר לכך נמצאים חומת האש של האורח, קישור המאזין והזהות של היישום עצמו. כל אחד מהם יכול לסרב לבקשה שהניתוב סיפק אותה בצורה מושלמת.

הקבלה חייבת להיות פעולת היישום האמיתית. ping מוצלח אינו מעניק גישה ליישום ואינו מוכיח ששם TLS ופרטי הזדהות נכונים, ו-ping חסום אינו מוכיח שכל שירות פרטי מושבת.

בדיקה 4: האם באמת נדרש חיבור נפרד

VPN עדיין יכול להיות חלק מהתכנון, אך מסיבה מוצהרת: לחבר את ה-VPC הזה למשרד, לאפשר מחשבים ניידים או לעמוד בדרישת שכבת-על. הסיבה הזו שונה מתקשורת רגילה בתוך אותו VPC.

זכרו גם מה ה-VPC אינו. הוא אינו הרחבה של מקטע Ethernet ביתי. יישום שתלוי בגילוי באמצעות שידור צריך דרישה נפרדת להערכה. זהו פער תכנון ולא באג ניתוב.

בדיקה 5: שאלת ההצפנה

כתובת פרטית וכלל הרשאה אינם אומרים דבר על הגנה קריפטוגרפית בשכבת היישום. אם הנתונים זקוקים להגנה מקצה לקצה, היא מגיעה מהפרוטוקול וממודל הזהות שהשירות באמת תומך בהם.

הפרידו בין טענות שכבת הרשת לשכבת היישום בהערת התכנון, משום שמיזוגן הוא הדרך שבה סקירה מגיעה בסוף לטעון להגנה שאיש לא יישם.

מה לתעד

תעדו את שני מזהי תת-הרשת, את טבלת הניתוב המשויכת לכל אחת, את הפניות לקבוצות האבטחה ואת פעולת היישום שבדקתם. אלה ארבע עובדות, והן מכריעות את רוב הוויכוחים העתידיים על הנתיב הזה.

הצבה באזור לבדה לעולם אינה אומרת לכם להוסיף VPN, והיא לעולם אינה מסבירה מדוע בקשה פרטית נכשלה.