AWS Client VPN՝ բաժանված թունելով. ինչ երթուղիներ հրապարակել

Վահանակը առաջարկում է բաժանված թունելի անջատիչ, ուստի որոշումը թվում է նշիչ։ Այդպես չէ։ Այն, ինչ իրականում հասնում է հաճախորդին, վերջնակետի հրապարակված երթուղիների բազմությունն է, և այդ ցանկը որոշում է, թե որ մասնավոր նախածանցներն են օգտագործում թունելը, մնում է ընդհանուր ինտերնետ երթևեկությունը տեղական, թե դուրս է գալիս AWS-ով, և որ resolver-ի հետ հաճախորդը դեռ կարող է խոսել։ Երեք հարց լուծում է նախագիծը, և յուրաքանչյուրին կարելի է վատ պատասխանել, մինչ կապը դեռ հաջողվում է։

Բաժանված թունելի դրոշակը նպատակակետերի ցանկ չէ

AWS-ը բաժանված թունելը նկարագրում է որպես վերջնակետի երթուղիների ավելացում հաճախորդի երթուղիների աղյուսակում կապի հաստատման պահին։ Մասնավոր VPC-ի երթուղին սահմանափակում է թունելը այդ նպատակակետով. մնացած ամեն ինչ հետևում է հաճախորդի սովորական ուղուն։ Լռելյայն երթուղին այլ հրահանգ է՝ այլ ազդեցությամբ, դրա համար էլ բաժանված թունելի փաստաթղթերը զգուշացնում են այս ռեժիմի համար կարգավորված վերջնակետում 0.0.0.0/0 հրապարակելուց. դա սովորաբար կոտրում է կապը, փոխանակ ընդլայնելու։ Վերջնակետի երթուղիների աղյուսակը քաղաքականությունն է, իսկ հաճախորդի երթուղիների աղյուսակը՝ արդյունքը, որը կարող եք ստուգել։

Կարդացեք վերջնակետի երթուղիների աղյուսակը և հաճախորդի տեղադրված երթուղիները միասին։ Պիտակը նկարագրում է մտադրություն. երթուղիները նկարագրում են, թե ինչ է կատարվում։

Առաջին որոշումը. ընդհանուր ինտերնետ երթևեկությունը պետք է մնա՞ տեղական։

Եթե դիտարկումը պետք է օգտագործի օգտատիրոջ սեփական կապը, հրապարակեք միայն այն մասնավոր նպատակակետերը, որոնք անհրաժեշտ են աշխատանքին, և կանգ առեք այնտեղ։ Մի ավելացրեք ինտերնետ երթուղի, որովհետև լրիվ թունելի ձեռնարկը մեկը ներառել էր, և մի ենթադրեք, որ լրացուցիչ երթուղին բարելավում է անվտանգությունը։ Այն փոխում է ուղին, չի ավելացնում քաղաքականություն և սովորաբար արժենում է ուշացում, որը դուք չէիք նախատեսել։

Եթե ինտերնետ երթևեկությունը պետք է դուրս գա AWS-ով, կառուցեք փաստաթղթավորված ինտերնետ հասանելիության ճարտարապետությունը. վերջնակետի երթուղի, լիազորման կանոններ, կապակցված ենթացանցի ուղի, անվտանգության քաղաքականություն և աշխատող վերին ելք։ Միայն լռելյայն երթուղին ոչ մեկը դրանցից չի տալիս։

Երկրորդ որոշումը. որ մասնավոր նախածանցերը և ո՞ւմ լիազորությամբ։

Հրապարակեք իրական ծանրաբեռնվածությանը սպասարկող նպատակակետերի ամենափոքր հավաքածուն, և ստուգեք, որ յուրաքանչյուր կապակցված ենթացանց կարող է երթուղավորել դեպի դրանք։ Վերջնակետի երթուղու թիրախը և ենթացանցի VPC երթուղավորումը տարբեր շերտեր են, և մեկում գոյություն ունեցող երթուղին ապացույց չէ մյուսի մասին։ Լիազորումը կրկին առանձին է. նպատակակետը կարող է հասանելի լինել և այնուամենայնիվ մերժվել, որովհետև հաճախորդի խումբը չունի այն թույլատրող կանոն։

Մեկ հաջող սեսիա փորձարկելը ապացուցում է մեկ ուղի։ Ստուգեք յուրաքանչյուր կապակցված ենթացանց, որովհետև ավելի ուշ ավելացված ենթացանցի կապակցումը հենց այն տեղն է, որտեղ սովորաբար գտնվում է բացակայող երթուղին։

Երբ նպատակակետը պետք է հասանելի լինի անունով, նկատի ունեցեք, որ հաջորդ հարցը անունների լուծումն է, ոչ թե երթուղին։

Երրորդ որոշումը. ո՞ր resolver-ն է հետևում թունելին։

Հաճախորդը կարող է ստանալ DNS սերվեր, որը հասանելի է միայն VPN-ով, և այդ resolver-ը աշխատում է միայն, եթե նրա հասցեն ինքնին լիազորված երթուղու ներսում է։ Ստուգեք երկու կեսերը. resolver-ի հասցեն հետևում է հրապարակված երթուղուն, և սերվերը պատասխանում է այն անուններին, որ հարցնում է հավելվածը։ Հասցեով հաջողվող, բայց հոսթի անունով ձախողվող հարցումը մատնանշում է անվանակոչում, ոչ թե երթուղավորում, և այդ դեպքում թունելի վրիպազերծումը վատնում է կեսօրը։

Հանրային անունները պետք է լուծվեն այնպես, ինչպես կապից առաջ, ինչը ևս մեկ պատճառ է ճշգրիտ լինելու այն հարցում, թե ինչ եք հրապարակում։

Փոխեք երթուղիների հավաքածուն, ապա ստուգեք երկու աշխարհները

AWS-ը փաստաթղթավորում է, որ բաժանված թունելի վերջնակետում երթուղիների փոփոխությունը վերակայում է հաճախորդի կապերը։ Պլանավորեք փոփոխությունը դա նկատի ունենալով. կիրառեք այն, նորից միացեք աջակցվող հաճախորդով և նորից կարդացեք տեղադրված երթուղիները՝ խմբագրումից առաջ կիրառված վիճակին վստահելու փոխարեն։ Հնացած կիրառված վիճակը ճիշտ փոփոխության կոտրված թվալու ամենատարածված պատճառն է։

Ընդունեք նախագիծը միայն այն դեպքում, երբ մեկ մասնավոր ռեսուրս և մեկ հանրային նպատակակետ երկուսն էլ վարվում են ինչպես նախատեսված է, անունով և հասցեով, այն հասցեային ընտանիքներում, որոնք դուք իսկապես աջակցում եք։ Նույնականացում կատարող թունելը նույնը չէ, ինչ ճիշտ բաժանող թունելը։

Գրեք երթուղիների ցանկը runbook-ում՝ հիմնավորման կողքին, որպեսզի հաջորդ մարդը կարողանա տարբերել դիտավորյալ բացառումը մոռացվածից։