AWS Client VPN osztott alagúttal: mely útvonalakat publikálja

A konzol kínál egy kapcsolót az osztott alagúthoz, így a döntés jelölőnégyzetnek tűnik. Nem az. Ami valójában eljut az ügyfélhez, az a végpont publikált útvonalkészlete, és ez a lista dönti el, mely privát előtagok használják az alagutat, az általános internetes forgalom helyben marad-e vagy AWS-en keresztül távozik, és melyik resolver-rel tud még beszélni az ügyfél. Három kérdés rendezi a tervezést, és mindegyikre lehet rosszul válaszolni, miközben a kapcsolat továbbra is sikeres.

Az osztott alagút jelzője nem célállomás-lista

Az AWS az osztott alagutat úgy írja le, mint a végpont útvonalainak hozzáadását az ügyfél útvonaltáblájához a kapcsolat létrehozásakor. A privát VPC-hez tartozó útvonal az alagutat erre a célállomásra korlátozza; minden más az ügyfél szokásos útját követi. Az alapértelmezett útvonal más utasítás, más hatással, ezért az osztott alagút dokumentációja óva int attól, hogy 0.0.0.0/0-t publikáljon egy erre a módra konfigurált végponton: ez inkább megtöri, mint kiterjeszti a kapcsolatot. A végpont útvonaltáblája a szabályzat, az ügyfél útvonaltáblája pedig az eredmény, amit megvizsgálhat.

Olvassa a végpont útvonaltábláját és az ügyfél telepített útvonalait együtt. A címke szándékot ír le; az útvonalak azt írják le, mi történik.

Első döntés: helyben kell maradnia az általános internetes forgalomnak?

Ha a böngészésnek a felhasználó saját kapcsolatát kell használnia, csak azokat a privát célállomásokat publikálja, amelyekre a munkának szüksége van, és álljon meg ott. Ne adjon hozzá internetes útvonalat azért, mert egy teljes alagút bemutató tartalmazott egyet, és ne feltételezze, hogy a plusz útvonal javítja a biztonságot. Megváltoztatja az útvonalat, nem ad hozzá szabályzatot, és általában olyan késleltetésbe kerül, amelyre nem számított.

Ha az internetes forgalomnak AWS-en keresztül kell távoznia, építse fel a dokumentált internetelérési architektúrát: végponti útvonal, engedélyezési szabályok, a társított alhálózat útvonala, biztonsági szabályzat és működő felső kimenet. Az alapértelmezett útvonal önmagában ezek egyikét sem biztosítja.

Második döntés: mely privát előtagok, kinek az engedélyével?

A valós terhelést kiszolgáló legkisebb célállomás-készletet publikálja, és ellenőrizze, hogy minden társított alhálózat tud-e útvonalat adni feléjük. A végpont útvonalcélja és az alhálózat VPC-útválasztása különböző rétegek, és az egyikben létező útvonal nem bizonyíték a másikra. Az engedélyezés megint külön van: egy célállomás elérhető lehet, és mégis elutasítható, mert az ügyfél csoportjának nincs engedélyező szabálya.

Egyetlen sikeres munkamenet tesztelése egyetlen útvonalat bizonyít. Ellenőrizze minden társított alhálózatot, mert a később hozzáadott alhálózat-társítás az a hely, ahol a hiányzó útvonal általában van.

Amikor egy célállomásnak név szerint elérhetőnek kell lennie, figyeljen rá, hogy a következő kérdés a névfeloldás, nem az útvonal.

Harmadik döntés: melyik resolver követi az alagutat?

Az ügyfél kaphat olyan DNS-kiszolgálót, amely csak a VPN-en keresztül érhető el, és ez a resolver csak akkor működik, ha a címe maga is engedélyezett útvonalon belül van. Ellenőrizze mindkét felét: a resolver címe publikált útvonalat követ, és a kiszolgáló válaszol azokra a nevekre, amelyeket az alkalmazás kér. Az a kérés, amely cím szerint sikerül, de gazdanév szerint meghiúsul, a névadásra mutat, nem az útválasztásra, és az alagút hibakeresése ilyenkor délutánt pazarol el.

A nyilvános neveknek úgy kell feloldódniuk, mint a kapcsolat előtt, ami egy újabb ok arra, hogy pontos legyen abban, mit publikál.

Módosítsa az útvonalkészletet, majd ellenőrizze mindkét világot

Az AWS dokumentálja, hogy az útvonalak módosítása egy osztott alagútú végponton visszaállítja az ügyfélkapcsolatokat. Ennek tudatában tervezze a változtatást: alkalmazza, kapcsolódjon újra a támogatott ügyfélen keresztül, és olvassa újra a telepített útvonalakat ahelyett, hogy a szerkesztés előtt alkalmazott állapotban bízna. Az elavult alkalmazott állapot a leggyakoribb oka annak, hogy egy helyes változtatás töröttnek látszik.

Csak akkor fogadja el a tervet, ha egy privát erőforrás és egy nyilvános célállomás is a szándéknak megfelelően viselkedik, név és cím szerint, azokban a címcsaládokban, amelyeket valóban támogat. Az az alagút, amely hitelesít, nem ugyanaz, mint az, amely helyesen oszt fel.

Írja az útvonallistát a runbookba az indoklás mellé, hogy a következő ember meg tudja különböztetni a szándékos kizárást az elfelejtettől.