EC2-ի Elastic IP-ը instance-ի անձնական VPN հասցեն չէ

Instance-ն ունի մասնավոր հասցե, Elastic IP-ը կապված է դրա հետ, և այդ հանրային /32-ի համար երթուղի է ավելացվում VPN-ին այն հույսով, որ երկուսը կդառնան նույն բանը։ Չեն դառնում։ Elastic IP-ն թարգմանություն է, որը կատարվում է հյուրից դուրս՝ ինտերնետ դարպասի կողմից, այն տրաֆիկի վրա, որն անցնում է ինտերնետ ուղով։ Հյուրի օպերացիոն համակարգը երբեք չի տեսնում այդ հասցեն որևէ ինտերֆեյսի վրա կարգավորված։ Այն թունելային ինտերֆեյսին ավելացնելը չի վերարտադրում վերին թարգմանությունը և ստեղծում է երկրորդ՝ հակասական ինքնություն նույն մեքենայի համար։

Երկու հասցե, մեկ instance

Instance-ի ցանցային ինտերֆեյսը VPC-ի ներսում պահում է մասնավոր հասցե, և դա այն հասցեն է, որը հյուրը գիտի։ Elastic IP-ը կապված է նույն ինտերֆեյսի հետ, բայց ապրում է քարտեզագրման հանրային կողմում։

Այն ամենը, ինչ հասնում է instance-ին ինտերնետի միջոցով, գալիս է թարգմանված մասնավոր հասցեի։ Այն ամենը, ինչ instance-ը ուղարկում է ինտերնետ, դուրս է գալիս Elastic IP-ն որպես աղբյուր, կրկին այդ թարգմանության պատճառով։

Հյուրի ներսում գոյություն ունի մեկ հասցե։ Դրսում՝ երկու։ Այդ ասիմետրիան բացատրում է այս ոլորտի շփոթության մեծ մասը։ Հյուրը չի կարող կարգավորել, թե ինչ է թարգմանում դարպասը։ Այն կարող է պատասխանել միայն այն հասցեով, որն իրականում ունի։

Ինչ է իրականում անում ինտերնետ դարպասը

AWS-ի ինտերնետ դարպասի փաստաթղթերը նկարագրում են դասավորությունը. instance-ը տեղյակ է իր մասնավոր IPv4 հասցեից, և դարպասը ապահովում է համապատասխան հանրային IPv4 կամ Elastic IP թարգմանությունը ինտերնետ ուղու տրաֆիկի համար։

Սա ցանցային հասցեների թարգմանություն է, ոչ կեղծանուն։ Քարտեզագրումը պահպանում է դարպասը, այն կապված է միացման հետ և տարածվում է միայն այն փաթեթների վրա, որոնք անցնում են դրանով։ Հեռացրեք միացումը, և հանրային ինքնությունը կվերանա առանց հյուրի որևէ բան նկատելու։

Այդ պատճառով հանրային /32-ին հասցեագրված մասնավոր VPN փաթեթը չի վերաիմաստավորվում որպես մասնավոր փաթեթ հյուրի տեղական հասցեին։ Փաթեթը հետևում է այն երթուղուն, որին համապատասխանում է, ինչը ուղարկում է այն ինտերնետ դարպաս, և դարպասի վարքը կախված է նրանից՝ արդյոք ուղին թույլատրված է երկու ուղղություններով։

Ինչու է ձախողվում թունելային ինտերֆեյսի հնարքը

Elastic IP-ն թունելային ինտերֆեյսին վերագրելը հյուրից պահանջում է հանրային հասցեն վերաբերվել որպես տեղական։ Այժմ երկու բան հավակնում է նույն հասցեին՝ ինտերնետ ուղու դարպասի թարգմանությունը և թունելի ներսում գտնվող տեղական ինտերֆեյսը։ Վերադարձող տրաֆիկը հետևողական պատասխան չունի, թե որն է գործում։

Անգամ երբ թվում է, թե աշխատում է, դիզայնը թաքցրել է իրական հարցը։ Հաճախորդները կա՛մ թունելով հասնում են մասնավոր հասցեին, կա՛մ ինտերնետով՝ հանրային վերջնակետին, և այդ երկու ուղիներն ունեն տարբեր անվտանգության խմբեր, տարբեր գրանցում և տարբեր ձախողման եղանակներ։

Հասցեն երբեք խնդիրը չի եղել։ Ուղու ընտրությունն էր։

Երեք նպատակ, երեք դիզայն

Եթե նպատակը հանրային VPN վերջնակետն է, Elastic IP-ն ճիշտ գործիքն է. հեռավոր գործընկերները միանում են դրան ինտերնետով, և գաղտնագրված տրանսպորտը ավարտվում է instance-ի վրա։ Ներքին հավելվածի տրաֆիկն այնուհետև օգտագործում է մասնավոր հասցեն։

Եթե նպատակը հավելվածին մասնավոր հասանելիությունն է, նպատակակետը մասնավոր հասցեն է կամ դրան լուծվող մասնավոր DNS անուն, և VPN երթուղին, անվտանգության խումբը և վերադարձի ուղին բոլորը պետք է համաձայնեն։ Elastic IP-ն այդ դիզայնում ընդհանրապես չի հայտնվում։

Եթե նպատակը VPN օգտատերերի համար կայուն հանրային ելքի ինքնությունն է, դա NAT դիզայն է ելքի կողմում, ոչ թե հասցե հաճախորդի թունելում։ Երեք նման հնչող նպատակներ տալիս են երեք տարբեր դիագրամ, և դրանցից միայն մեկն է ներառում Elastic IP-ն նոր տեղում տեղադրելը։

Ստուգեք ձեր ընտրած ուղին

Մասնավոր հասանելիության համար համոզվեք, որ VPN երթուղին ծածկում է մասնավոր նախադիրը, VPC-ի երթուղիների աղյուսակը տրաֆիկը վերադարձնում է թունել, անվտանգության խումբը թույլատրում է հաճախորդի աղբյուրը, և հաճախորդի սեփական firewall-ը թույլատրում է պատասխանը։ Այնուհետև փորձարկեք մեկ իրական հարցում՝ ping-ի փոխարեն։

Հանրային հասանելիության համար ստուգեք հաճախորդի ինտերնետ ելքը, հանրային մուտքի երթուղավորումը և դրա անվտանգության քաղաքականությունը։ Թե արդյոք VPN հաճախորդը կարող է թունելով հասնել հանրային վերջնակետին, կախված է թունելի ելքի և firewall-ի կանոններից, ոչ թե Elastic IP-ի միացումից։

Եթե հանրային հոսթի անունը պետք է աշխատի երկու կողմից էլ, օգտագործեք DNS դիզայն, որը VPN հաճախորդներին պատասխանում է մասնավոր հասցեով, իսկ մնացած բոլորին՝ հանրային հասցեով, և վկայականը վավեր պահեք անվան, ոչ թե հասցեի համար։ Աշխատանքի կարգը. անվանեք նպատակը, ընտրեք դրան պատկանող հասցեն, ապա ստուգեք երթուղիները, քաղաքականությունը և մեկ հարցում։