EC2 उपलब्धता क्षेत्रों में: VPN से पहले राउटिंग जाँचें

दो EC2 इंस्टेंस के बीच VPN सॉफ़्टवेयर स्थापित करने से पहले एक सवाल का जवाब दें: क्या वे एक ही VPC में हैं? अगर हैं, तो निजी रास्ता पहले से मौजूद है और क्षेत्रों के बीच जगह बदलने से यह नहीं बदलता। इस स्थिति में ज़्यादातर काम यह पुष्टि करना है कि हर सबनेट वास्तव में कौन-सी राउट तालिका इस्तेमाल करता है, और फिर यह पता लगाना कि विफलता कभी राउटिंग समस्या थी ही या नहीं। इस खास सवाल का जवाब आम तौर पर टनल गलत होता है।

जाँच 1: एक ही VPC या अलग-अलग VPC

VPC क्षेत्रीय होता है और उपलब्धता क्षेत्रों में फैला रहता है, जबकि हर सबनेट ठीक एक क्षेत्र का होता है। एक ही VPC के अलग-अलग क्षेत्रों में दो इंस्टेंस अब भी उसी निजी राउटिंग डोमेन के भीतर हैं।

अलग-अलग VPC कभी सिर्फ़ इसलिए निजी रास्ता नहीं पाते कि वे कोई क्षेत्र या क्षेत्र लेबल साझा करते हैं। उस स्थिति के लिए समर्थित कनेक्शन और अपना अलग राउट व अनुमति कार्य चाहिए, जो एक अलग फ़ैसला है।

जाँच 2: सबनेट राउट तालिकाएँ क्या कहती हैं

असली मानों के साथ लेआउट लिखें। एक VPC 10.60.0.0/16 पर, सबनेट 10.60.1.0/24 और 10.60.2.0/24 के साथ, इंस्टेंस 10.60.1.10 और 10.60.2.20 को VPC के स्थानीय राउट से रास्ता देता है।

फिर दोनों सबनेट से जुड़ी तालिकाएँ देखें, सिर्फ़ वह नहीं जो पहले मिली थी। अधिक विशिष्ट निरीक्षण या उपकरण राउट आधार राउट को बदल सकता है, और स्थानीय राउट का लक्ष्य भी नए कॉन्फ़िगरेशन में बदला जा सकता है। कंसोल में कहीं दिखने वाला स्थानीय राउट यह साबित नहीं करता कि दोनों वर्कलोड उसे इस्तेमाल करते हैं।

वे निजी पते और नाम इस्तेमाल करें जो VPC वास्तव में देता है। निजी पते का 10 से शुरू होना ज़रूरी नहीं है, और याद से एक पता गढ़ना वही तरीका है जिससे काम कर रहे वातावरण का गलत निदान होता है।

जाँच 3: राउटिंग या प्राधिकरण

राउटिंग पैकेट को सिर्फ़ लक्ष्य के नेटवर्क इंटरफ़ेस तक पहुँचाती है। लक्ष्य के सुरक्षा समूह को अब भी स्रोत और सेवा स्वीकार करनी होती है, स्रोत के बहिर्गमन नियमों को अनुरोध की अनुमति देनी होती है, और किसी भी नेटवर्क ACL को दोनों दिशाएँ अनुमत करनी होती हैं क्योंकि ACL स्थितिहीन होते हैं।

इसके आगे अतिथि फ़ायरवॉल, श्रोता का बंधन और अनुप्रयोग की अपनी पहचान है। इनमें से हर एक ऐसे अनुरोध को अस्वीकार कर सकता है जिसे राउटिंग ने पूरी तरह पहुँचाया था।

स्वीकृति को अनुप्रयोग का असली संचालन होना चाहिए। सफल ping अनुप्रयोग तक पहुँच नहीं देता और यह साबित नहीं करता कि TLS नाम और क्रेडेंशियल सही हैं, और अवरुद्ध ping यह स्थापित नहीं करता कि हर निजी सेवा बंद है।

जाँच 4: क्या सचमुच अलग कनेक्शन ज़रूरी है

VPN डिज़ाइन में रह सकता है, पर बताए गए कारण से: इस VPC को कार्यालय से जोड़ना, लैपटॉप को अनुमति देना या ओवरले आवश्यकता पूरी करना. वह कारण एक ही VPC के भीतर सामान्य संचार से अलग है।

यह भी याद रखें कि VPC क्या नहीं है। यह घरेलू ईथरनेट खंड का विस्तार नहीं है। जो अनुप्रयोग ब्रॉडकास्ट खोज पर निर्भर है, उसके लिए मूल्यांकन की अलग आवश्यकता है। यह राउटिंग बग नहीं बल्कि डिज़ाइन की खाई है।

जाँच 5: एन्क्रिप्शन का सवाल

निजी पता और अनुमति नियम अनुप्रयोग परत पर क्रिप्टोग्राफ़िक सुरक्षा के बारे में कुछ नहीं कहते। अगर डेटा को सिरे से सिरे तक सुरक्षा चाहिए, तो वह उस प्रोटोकॉल और पहचान मॉडल से आती है जिसे सेवा वास्तव में समर्थन देती है।

डिज़ाइन नोट में नेटवर्क-परत और अनुप्रयोग-परत के दावे अलग रखें, क्योंकि उन्हें मिलाना वही तरीका है जिससे समीक्षा अंत में ऐसी सुरक्षा का दावा करती है जिसे किसी ने लागू नहीं किया।

क्या दर्ज करें

दोनों सबनेट आईडी, हर एक से जुड़ी राउट तालिका, सुरक्षा समूह के संदर्भ और जिस अनुप्रयोग संचालन का आपने परीक्षण किया उसे दर्ज करें। ये चार तथ्य हैं, और ये इस रास्ते के बारे में ज़्यादातर भविष्य के विवाद तय कर देते हैं।

सिर्फ़ क्षेत्र में जगह देना कभी नहीं कहता कि VPN जोड़ें, और यह कभी नहीं बताता कि निजी अनुरोध क्यों विफल हुआ।