Fullur göngutunnill Access Server á EC2: hvers vegna eitt gátbox er ekki nóg

Að slökkva á uppruna- og áfangastaðseftirliti á EC2-eintaki er sú svar sem oftast er endurtekið um útgang Access Server á netið, og eitt sér gerir það ekkert fyrir biðlara þína. Eftirlitið er framsendingartakmörkun AWS: það fær eintakið til að taka við pakkum þar sem uppruni eða áfangastaður er ekki eigið vistfang þess. Það segir Access Server-biðlaranum ekki að senda netumferð um göngutunnilinn, það býr ekki til leið uppstreymis og það bætir ekki við NAT. Goðsögnin er að gátboxið sé eiginleikinn.

Hvað eftirlitið stýrir í raun

Sérhver EC2-netviðmót hendir umferð sem er ekki beint að því, nema eintakið starfi sem beinir, NAT-tæki eða VPN-gátt og þú slekkur á því eftirliti. Að slökkva á því veitir leyfi til framsendingar. Leyfi er ekki stilling: eintakið þarf enn leið að netgátt eða NAT-tæki, leiðartöflu VPC vantar enn samsvarandi færslu, öryggishópar verða enn að leyfa flæðið, og þjónninn verður enn að þýða eða beina afturumferðinni.

Athugaðu núverandi gildi með aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck áður en þú breytir nokkru. Ef þú breytir því í stjórnborðinu skaltu gera það vegna þess að eintakið framsendir fyrir aðra, ekki vegna þess að biðlari nái ekki netinu.

Access Server á stefnu um beiningu biðlarans

Í Access Server 3 skaltu opna Access Controls og finna hlutann Internet Access and DNS. Internet Gateway-valið býður fullan eða skiptan göngutunnel; fullur tunnel segir biðlaranum að beina sjálfgefinni umferð sinni inn í VPN, skiptur tunnel lætur netumferðina vera á staðbundinni leið biðlarans. Vistaðu og beittu í gegnum vinnuflæði vörunnar og tengdu svo prófbiðlara aftur, því stefnan er afhent við tengingu.

Eldri útgáfur nota aðrar valmyndir og sumar Community OpenVPN-byggingar hafa ekki samsvarandi stjórn. Athugaðu uppsetta aðalútgáfu áður en þú leitar að skjá sem er ekki til. Staðfestu svo hvað biðlarinn fékk: prófíll fyrir fullan tunnel ætti að setja sjálfgefna leið um tunnelinn, og prófíll fyrir skiptan tunnel ætti ekki að gera það.

Fylgdu pakkanum eftir tunnelinn

Þegar biðlarinn hefur sent netumferð inn í tunnelinn verður þjónninn að framsenda hana og venjulega þýða hana. Access Server stýrir eigin NAT- og beiningarreglum, svo lestu virku stillinguna í stað þess að bæta Community OpenVPN-reglum við mynduð skjöl; óstýrðar reglur eru yfirskrifaðar eða rekast á í næstu vöruuppfærslu. sudo iptables -t nat -L -n -v eða samsvarandi nftables sýnir hvað er í raun þýtt.

AWS-hliðin er aðskilin leið. Eintak í opinberu undirneti nær netgátt beint og heldur opinberu vistfangi sínu eða teygjanlegu IP. Eintak í einkareknu undirneti þarf leið að NAT-gátt eða NAT-eintaki, og NAT-tækið þarf eigin leið að netgáttinni. Að tengja netgátt við VPC gefur engum einkareknum uppruna opinbert afturvistfang eitt sér, og þess vegna virkar sama Access Server uppsetningin í einu undirneti og bregst hljóðlaust í öðru.

Athugaðu leiðartöfluna sem er tengd undirneti eintaksins, ekki aðeins aðaltöflu VPC. Undirnetstengingar ganga framar aðaltöflunni, og úrelt tenging er algeng ástæða þess að virk stilling stöðvast eftir endurbyggingu.

Haltu IP-útgangi og DNS aðskildum

Prófaðu fyrst vistfangsbókstaf og svo nafn, úr sama biðlaraforriti. Ef curl -4 https://checkip.amazonaws.com skilar opinberu vistfangi en hýsilnöfn mistakast, virka tunnelinn og NAT-leiðin og vandamálið er DNS: uppsendingaruppleysirinn, staða uppleysis biðlarans, eða öryggishópur sem lokar á uppleysinn. DNS-stillingar Access Server eru á sama Internet Access svæði, en þær fara aðra kóðaleið.

Berðu saman skilaða vistfangið við útganginn sem þú ætlaðir. Ef það er opinbert vistfang eintaksins er umferðin þýdd af eintakinu; ef það er vistfang NAT-gáttar er leið einkarekna undirnetsins notuð. Hvort tveggja getur verið rétt. Það sem þú getur ekki ályktað er að vafri á þjóninum sanni framsendingu fyrir biðlarann.

Ekki láta eitt gátbox loka rannsókninni

IPv6 er aðskilin ákvörðun. Stefna um fullan tunnel fyrir IPv4 segir ekkert um hvort IPv6 sé flutt, lokað á það eða það leki, og biðlari með tvöfaldan stafla getur haldið áfram að nota staðbundna IPv6-leið sína á meðan IPv4 er í tunnelnum. Prófaðu vistfangafjölskylduna sem þér er í raun annt um, og ákveddu skýrt hvort slökkva eigi á hinni.

Að lokum skaltu prófa aftengda stöðu. Val á fullum tunnel lýsir beiningarstefnu meðan tengt er, ekki hvað gerist þegar tunnelinn dettur. Ef krafan er að engin umferð sleppi út fyrir VPN er það spurning um kill-switch og eldvegg, og hún þarf eigin prófun í stað ályktunar úr leiðartöflunni.