Melyik forrás-IP-t használja az AWS NAT-átjárója a VPN felé?

Megnyitja a VPC-konzolt, mert egy partner megkérdezte, melyik forrástartomány érkezik a helyek közötti VPN-en. A NAT-átjárók oldal egy nyilvános átjárót mutat csatolt Elastic IP-vel, és a kísértés az, hogy elküldje azt a címet és továbblépjen. Ez a helyes válasz az internetes útvonalhoz és a helytelen válasz a VPN-útvonalhoz, és a különbség az, hogy melyik átjáróra mutat az útvonaltábla. Járja be az útvonalat, mielőtt megírja az engedélyezési listát.

Kezdje a NAT-átjárók oldalon, ne az engedélyezési listán

A NAT-átjárók oldal megmondja az alhálózatot, a típust és az Elastic IP-t, és ez a három mező elég az induláshoz. Amit nem mond meg, az az útvonal, amelyet a forgalom utána bejár. Ez a NAT-átjáró alhálózatához kapcsolt útvonaltáblákból származik.

Először a típust olvassa el, mert a nyilvános vagy privát dönti el, hogy később megjelenik-e egy internetátjáró a láncban. Utána az alhálózatot olvassa el, mert ott lakik a második útvonal.

Kövesse a két fordítási lépést

A nyilvános és a privát NAT-átjárók egyaránt a munkaterhelés privát IPv4-forrását a NAT-átjáró saját privát IPv4-címére fordítják. Ez az első fordítás a típustól függetlenül megtörténik. A második fordítás az, amelyet elfelejtenek: a nyilvános NAT-átjáró átadja a forgalmat az internetátjárónak, amely a címet a csatolt Elastic IP-hez rendeli.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

A privát útvonalon nincs internetátjáró a láncban. Amikor a forgalom tranzitátjárón vagy virtuális privát átjárón keresztül megy ki, a NAT-átjárók útmutatója dokumentálja a NAT-átjáró privát címét forrásként, amelyet a távoli fél megkap. Ezt a címet kell engedélyeznie a partnernek, nem az Elastic IP-t.

A VPN-útvonal általában a privát címet mutatja

Egy 10.20.1.0/24-ben lévő munkaterhelés esetén, amely eléri a partner előtagját, a munkaterhelés alhálózatának útvonaltáblája a NAT-átjáróra mutat, a NAT-átjáró alhálózatának útvonaltáblája pedig a privát átjáró útvonalára. Mindkét ugrás számít, és csak a második dönti el, mit lát a partner. Ha a NAT-alhálózatnak nincs útvonala a VPN-útvonalhoz, a csomag soha nem érkezik meg, és ez más hiba, mint a rossz forráscím.

Ellenőrizze ezt a második útvonalat, mielőtt egyáltalán címekről beszél. A hiányzó útvonal és a helytelenül jelentett forrás teljesen egyformán néz ki egy partnernek, aki egyszerűen nem lát forgalmat.

Amikor egy második fordítás megváltoztatja a választ

Az AWS emellett egy kifejezett, illeszkedő egy-az-egyhez NAT-leképezést is kínál egy tranzitátjáró-csatolmányon. Ez a leképezés még egyszer lefordíthatja a forrást, mielőtt a távoli szolgáltatás látná, és ez nem az az alapértelmezett viselkedés, amely csak továbbít. Mivel szándékosan kell beállítani, kezelje tervezési kivételként, és ne valamiként, amit véletlenül örököl. Ha a csapatában senki nem emlékszik arra, hogy bekapcsolta, feltételezze, hogy nincs ott, amíg el nem olvasta a csatolmányt.

Ha a tervezése használja, az engedélyezési listának a végső leképezést kell leírnia, nem a NAT-átjáró címét. Ugyanez az óvatosság érvényes az elérhetőségi útvonalakra: ha több átjárócím vesz részt, a várt forráshalmaz az unió, nem egyetlen reprezentatív cím. Jegyezze fel, melyik fordításhoz tartozik az egyes címek, mert az eredet nélküli lista később nem auditálható.

Egy privát NAT-átjárónak nem adható internetes szolgáltatás azzal, hogy egy internetátjáróra irányítják; az AWS dokumentálja, hogy az ilyen forgalom eldobásra kerül. A típust a teljes útvonalból válassza, ne a követelmény VPN szavából.

Írja meg azt a szerződést, amelyre a partnere támaszkodhat

A használható szerződésnek négy része van: az irány, ahonnan a folyamok indulnak, a lefordított identitás, amelyet a partner látni fog, az adott identitás visszaútvonala és az érvényes védelmi hatókör. A NAT-átjáró folyamai a támogatott forrásoldalról indulnak, tehát ez nem bejövő porttovábbító szolgáltatás egy privát munkaterhelés kitárására. Ha ezt korán hangosan kimondja, elkerül egy tervezési átvizsgálást, amelyben mindkét fél azt feltételezte, hogy a másik indított.

A fordítás enyhülést ad a címátfedésre és kiszámítható forráspolitikát, viszont a partner naplóiban az egyedi munkaterhelés-identitásba kerül. Ha az audit munkaterhelésenkénti hozzárendelést igényel, tartsa ezt az identitást az alkalmazási rétegen, ahelyett hogy egy lefordított forráscímből próbálná visszanyerni.

Utána minden változás után ismét ellenőrizze mindkét útvonaltáblát, mert egy új csatolmány vagy egy újracsatolt alhálózat csendesen átírja a választ.