Ի՞նչ աղբյուր IP է օգտագործում AWS-ի NAT դարպասը դեպի VPN։

Դուք բացում եք VPC կոնսոլը, որովհետև գործընկերը հարցրել է, թե որ աղբյուր միջակայքը կժամանի Site-to-Site VPN-ով։ NAT դարպասների էջը ցույց է տալիս հանրային դարպաս՝ կցված Elastic IP-ով, և գայթակղությունը նույն հասցեն ուղարկելն ու առաջ շարժվելն է։ Դա ճիշտ պատասխանն է ինտերնետային ուղու համար և սխալ պատասխանը VPN ուղու համար, և տարբերությունը նրանում է, թե երթուղային աղյուսակը որ դարպասին է ցույց տալիս։ Անցեք երթուղին, նախքան թույլատրելի ցանկը գրելը։

Սկսեք NAT դարպասների էջից, ոչ թե թույլատրելի ցանկից

NAT դարպասների էջը ձեզ ասում է ենթացանցը, տեսակը և Elastic IP-ն, և այդ երեք դաշտերը բավարար են սկսելու համար։ Այն, ինչ չի ասում, այն ուղին է, որով երթևեկությունը գնում է դրանից հետո։ Դա գալիս է NAT դարպասի ենթացանցին կցված երթուղային աղյուսակներից։

Նախ կարդացեք տեսակը, որովհետև հանրային կամ մասնավոր լինելը որոշում է՝ շղթայում ավելի ուշ կհայտնվի ինտերնետային դարպաս թե ոչ։ Ապա կարդացեք ենթացանցը, որովհետև երկրորդ երթուղին հենց այնտեղ է։

Հետևեք երկու փոխակերպումներին

Ե՛վ հանրային, և՛ մասնավոր NAT դարպասները աշխատանքային բեռի մասնավոր IPv4 աղբյուրը փոխակերպում են NAT դարպասի սեփական մասնավոր IPv4 հասցեի։ Այդ առաջին փոխակերպումը տեղի է ունենում անկախ տեսակից։ Երկրորդ փոխակերպումն այն է, ինչը մոռանում են․ հանրային NAT դարպասը երթևեկությունը հանձնում է ինտերնետային դարպասին, որը հասցեն քարտեզագրում է կցված Elastic IP-ին։

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Մասնավոր ուղում շղթայում ինտերնետային դարպաս չկա։ Երբ երթևեկությունը դուրս է գալիս տրանզիտ դարպասով կամ վիրտուալ մասնավոր դարպասով, NAT դարպասների ուղեցույցը փաստաթղթավորում է NAT դարպասի մասնավոր հասցեն որպես աղբյուր, որը ստանում է հեռավոր կողմը։ Հենց այդ հասցեն պետք է թույլատրի գործընկերը, ոչ թե Elastic IP-ն։

VPN ուղը սովորաբար ցույց է տալիս մասնավոր հասցեն

10.20.1.0/24-ում գտնվող աշխատանքային բեռի համար, որը հասնում է գործընկերոջ նախածանցին, աշխատանքային բեռի ենթացանցի երթուղային աղյուսակը ցույց է տալիս NAT դարպասին, իսկ NAT դարպասի ենթացանցի երթուղային աղյուսակը՝ մասնավոր դարպասի ուղուն։ Երկու ցատկերն էլ կարևոր են, և միայն երկրորդն է որոշում, թե ինչ է տեսնում գործընկերը։ Եթե NAT ենթացանցը VPN ուղու երթուղի չունի, փաթեթը երբեք չի հասնի, և դա տարբերվում է սխալ աղբյուր հասցեից։

Ստուգեք այդ երկրորդ երթուղին, նախքան ընդհանրապես հասցեների մասին խոսելը։ Բացակայող երթուղին և սխալ հաղորդված աղբյուրը նույն տեսքն ունեն գործընկերոջ համար, որը պարզապես երթևեկություն չի տեսնում։

Երբ երկրորդ փոխակերպումը փոխում է պատասխանը

AWS-ը նաև առաջարկում է բացահայտ, համապատասխան մեկ-մեկ NAT քարտեզագրում տրանզիտ դարպասի կցորդի վրա։ Այդ քարտեզագրումը կարող է կրկին փոխակերպել աղբյուրը, նախքան հեռավոր ծառայությունը կտեսնի այն, և դա լռելյայն վարքագիծը չէ, որը միայն երթուղավորում է։ Քանի որ այն պետք է դիտավորյալ կարգավորվի, վերաբերվեք դրան որպես նախագծային բացառություն, ոչ թե որպես բան, որը պատահաբար ժառանգում եք։ Եթե ձեր թիմում ոչ ոք չի հիշում, որ միացրել է այն, ենթադրեք, որ այն բացակայում է, մինչև չկարդաք կցորդը։

Եթե ձեր նախագիծը օգտագործում է այն, թույլատրելի ցանկը պետք է նկարագրի վերջնական քարտեզագրումը, ոչ թե NAT դարպասի հասցեն։ Նույն զգուշությունը վերաբերում է հասանելիության ուղերին․ երբ մի քանի դարպասի հասցեներ են մասնակցում, սպասվող աղբյուրների բազմությունը միավորումն է, ոչ թե մեկ ներկայացուցչական հասցե։ Գրառեք, թե յուրաքանչյուր հասցե որ փոխակերպմանն է պատկանում, որովհետև ծագում չունեցող ցանկը հնարավոր չէ հետագայում աուդիտ անել։

Մասնավոր NAT դարպասին հնարավոր չէ ինտերնետ ծառայություն տալ՝ այն ինտերնետային դարպասին ուղղելով․ AWS-ը փաստաթղթավորում է, որ նման երթևեկությունը դեն է նետվում։ Տեսակն ընտրեք ամբողջ ուղուց, ոչ թե պահանջի VPN բառից։

Գրեք պայմանագիրը, որի հիման վրա ձեր գործընկերը կարող է գործել

Օգտագործելի պայմանագիրն ունի չորս մաս՝ ուղղությունը, որտեղից սկսվում են հոսքերը, փոխակերպված ինքնությունը, որը կտեսնի գործընկերը, այդ ինքնության վերադարձի ուղին և գործող պաշտպանության շրջանակը։ NAT դարպասի հոսքերը սկսվում են աջակցվող աղբյուր կողմից, ուստի սա մասնավոր աշխատանքային բեռը բացահայտելու մուտքային պորտերի փոխանցման ծառայություն չէ։ Դա վաղ բարձրաձայն ասելը կանխում է նախագծի վերանայումը, որտեղ յուրաքանչյուր կողմ ենթադրում էր, թե մյուսն է սկսել։

Փոխակերպումը գնում է հասցեների համընկնման թեթևացում և կանխատեսելի աղբյուրի քաղաքականություն, և ձեզ արժենում է աշխատանքային բեռի անհատական ինքնությունը գործընկերոջ մատյաններում։ Եթե աուդիտը պահանջում է վերագրում յուրաքանչյուր աշխատանքային բեռի համար, պահեք այդ ինքնությունը հավելվածի շերտում՝ փոխակերպված աղբյուր հասցեից այն վերականգնելու փոխարեն։

Այնուհետև ցանկացած փոփոխությունից հետո նորից ստուգեք երկու երթուղային աղյուսակները, որովհետև նոր կցորդը կամ վերակապված ենթացանցը լուռ վերագրում է պատասխանը։