VGW atau TGW? Di mana terowongan IPsec AWS Site-to-Site berakhir

Orang bertanya di mana AWS Site-to-Site VPN berhenti melindungi paket dan mengharapkan satu jawaban: di gateway. Versi jawaban yang berguna menyebutkan gateway mana, karena virtual private gateway dan transit gateway adalah susunan berbeda dengan objek lampiran berbeda, dan peninjau yang mengasumsikan yang salah membangun sisa penilaian di atas diagram yang tidak ada. Kerjakan tiga pemeriksaan di bawah ini secara berurutan. Masing-masing entah menegaskan batasnya atau memberi tahu Anda bahwa jawaban sebelumnya tentang sumber daya lain.

Sebutkan tiga titik akhirnya sebelum menilai apa pun

Tinjauan enkripsi jalur ini membutuhkan tiga hal bernama: gateway pelanggan, target AWS VPN yang mengakhiri IPsec, dan titik akhir aplikasi yang menerima paket dalam. Tuliskan semuanya beserta pengenal sumber dayanya sebelum membuka satu halaman konsol pun, karena semua setelah titik ini adalah pernyataan tentang salah satu dari ketiganya.

Gateway pelanggan milik Anda dan konfigurasinya terlihat oleh Anda. Target AWS adalah sumber daya terkelola, dan kesalahannya adalah menganggapnya sudah pasti: koneksi VPN dapat terpasang ke virtual private gateway atau langsung ke transit gateway, dan keduanya tidak saling menyiratkan. Titik akhir ketiga adalah yang orang lewatkan, dan hanya itu yang menjawab pertanyaan sebenarnya tentang data aplikasi.

Pemeriksaan 1: gateway mana yang benar-benar mengakhiri terowongan

Kedua susunan didukung dan panduan arsitektur Site-to-Site VPN menjelaskan keduanya berdampingan, jadi tanyakan API alih-alih diagram yang sering berumur satu tahun. Kueri hanya-baca pada satu koneksi mengembalikan bidang target VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Pembedaannya adalah TransitGatewayId, bukan VpnGatewayId. Koneksi dengan TransitGatewayId kosong berakhir di virtual private gateway mandiri, sedangkan koneksi dengan bidang itu terisi berakhir di lampiran VPN transit gateway, dan VpnGatewayId bisa tetap terisi dalam kasus itu karena dapat menyebutkan gateway pendukung lampiran tersebut. Baca bidang TGW lebih dulu, lalu pastikan jenis lampirannya dari daftar lampiran, bukan dari nama bidang, karena lampiran VPC pada transit gateway itu bukan lampiran VPN. Menemukan instans tujuan di VPC yang terhubung tidak memberi tahu Anda apa pun tentang lampiran VPN mana yang membawa paket.

Selagi di sana, periksa terowongannya. Koneksi membawa dua terowongan IPsec untuk redundansi, dan koneksi yang terowongan keduanya tidak pernah naik adalah temuan nyata untuk ketersediaan meskipun tidak mengubah apa pun pada batas enkripsi:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Pemeriksaan 2: apa yang masih dibawa paket dalam

Setelah IPsec berakhir, AWS meneruskan paket yang didekapsulasi memakai rute yang cocok dengannya. Sejak titik itu lalu lintasnya adalah lalu lintas VPC biasa, dan perlindungan VPN sudah berakhir. Itu bukan celah pada layanan; itulah arti batasnya, dan butir daftar periksa adalah mengatakannya dengan jelas alih-alih membiarkan "VPN-nya terenkripsi" menggantikan "datanya terenkripsi ujung ke ujung".

Sekarang periksa apa yang ada di dalam. Jika paket dalam adalah protokol aplikasi teks biasa, tidak ada yang menambah kerahasiaan di hilir sampai sesuatu yang lain mengenkripsinya. Jika paket dalam sudah membawa sesi TLS, penghapusan IPsec luar tidak mengubah apa pun bagi sesi itu: sesi tetap terlindungi hingga titik akhirnya sendiri, di mana pun titik akhir itu berada.

Koreksi berlebih yang umum adalah menyimpulkan bahwa semua yang ada di belakang gateway terbuka. Tidak. Transportasi layanan, enkripsi penyimpanan, dan TLS aplikasi adalah mekanisme terpisah dengan syarat terpisah, dan masing-masing harus dinilai dengan syaratnya sendiri alih-alih disimpulkan dari bentuk VPN. Entri log aliran yang menunjukkan ACCEPT membuktikan perutean bekerja dan tidak mengatakan apa pun tentang kerahasiaan, yang justru merupakan kesalahan yang hendak dicegah daftar periksa ini.

Pemeriksaan 3: apa yang mengakhiri TLS di belakang gateway

Ikuti pendengarnya, bukan alamatnya. Jika penyeimbang beban atau proksi mengakhiri TLS, koneksi yang dipegang klien Anda berakhir di sana, dan proksi membuka koneksi kedua ke backend yang bisa berupa teks biasa atau TLS dengan rantai kepercayaan berbeda. Alamat IP privat dan rute yang cocok bukan bukti tentang koneksi kedua itu.

Uji titik akhir yang benar-benar Anda pedulikan dari dalam VPC, dengan nama yang dipakai aplikasi alih-alih IP yang pernah Anda selesaikan sekali:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Ulangi untuk setiap lompatan yang dilalui permintaan. Jika jawabannya berbeda antara nama yang menghadap klien dan nama backend, Anda menemukan persis segmen yang tidak pernah dicakup VPN, dan itulah temuan yang harus dicatat.

Catat hasilnya sebagai segmen, bukan sebagai putusan

Keluaran daftar periksa ini adalah tabel kecil dengan satu baris per segmen: gateway pelanggan ke target AWS VPN, gateway ke beban kerja, beban kerja ke penyimpanan data, dan setiap lompatan proksi di antaranya. Setiap baris menyebutkan apa yang melindunginya dan apa yang menjadi sandaran perlindungan itu. "Terenkripsi" tanpa mekanisme dan tanpa titik akhir bukanlah baris.

Lalu jawab persyaratan aslinya dengan istilah yang sama seperti saat diajukan. Jika persyaratannya adalah data tetap rahasia sampai beban kerja menerimanya, VPN hanya memenuhi segmen pertama, dan baris sisanya membutuhkan transportasi aplikasi, TLS layanan, atau enkripsi penyimpanan yang dikonfigurasi dan diverifikasi secara terpisah.

Simpan pengenal koneksi, status terowongan, dan subjek sertifikat dalam catatan. Ketika seseorang meninjau desain itu enam bulan kemudian, ketiga artefak itu menjawab pertanyaan batas dalam beberapa menit alih-alih memulai perdebatan lagi dari sebuah diagram.