AWS Client VPN eða bastion til að ná peering-VPC

Eitt Client VPN-endpoint getur náð VPC sem er í peering með tilheyrandi VPC þess, og þú þarft ekki bastion til að gera það lögmætt. Valið sem er þess virði er hvar umferðin skiptir um hendur: endpoint-leið sem lendir í association-undirnetinu og fer yfir peering-tenginguna, eða hýsitölva í peering-VPC-inu sem lýkur lotunni. Báðar leiðir virka og þær bila á mismunandi stöðum, svo ákvörðunin snýst um eignarhald og endurskoðun, ekki um það sem AWS leyfir. Hér er hvernig ég vel á milli þeirra, og fjórar færslurnar sem láta hina leiðina virka.

Tvær leiðir, eitt endpoint, mismunandi eigendur

Á hinni leiðinni nær biðlaraumferðin endpointinu, er þýdd yfir í vistfang Client VPN-netviðmótsins í association-undirnetinu og yfirgefur það undirnet yfir peering-tengingunni frá A til B. VPC B lýkur engri VPN-lotu; það sér venjulega umferð frá VPC A, þess vegna bendir afturleið þess á VPC A, ekki á biðlarasafnið.

Á bastion-leiðinni nær biðlarinn fyrst hýsitölvu. Bastion í A lætur síðasta hoppið enn fara yfir peering-tenginguna, svo þú heldur peering-vinnunni og bætir við lotu. Bastion í B þarf líka leið frá biðlaranum, og þegar sú leið er sama endpoint-leiðin hefur þú hönnunina með einu hoppi til viðbótar. Bastioninn fjarlægir vinnu aðeins þegar hann er þegar til staðar, þegar búið er að samþykkja hann, og hluturinn fyrir aftan hann þarf lotumörk en ekki netmörk.

Fjórar færslur láta leiðina virka

AWS skjalfestir þetta atburðarás á Client VPN how-it-works síðunni, og í reynd kemur það niður á fjórar færslur sem tvö eða þrjú teymi eiga. Sviðin eru til sýnis; peering-sviðið verður að vera einkvæmt og aftursviðið verður að passa við áætlun þína.

Leið og heimild eru aðskilin stýring. Rétt endpoint-leið án samsvarandi heimildarreglu gefur biðlaranum ekkert; heimildarregla fyrir áfangastað sem endpointið getur ekki beint gefur honum svartan grop. Bæði verða að nefna sama svið.

Endpoint-leiðin bendir á undirnet í eigin VPC endpointisins, aldrei á peering-tenginguna. Leiðartöflur VPC benda á peering-tenginguna, aldrei á tilvik eða viðmót. Að afrita gildi á milli beggja vistast án kvörtunar og beinir engu.

Þar sem association-undirnetið þýðir uppruna biðlarans, verður B að beina aftur til VPC A, ekki til biðlarasafnsins. Að senda biðlarasviðið yfir peering-tenginguna virðist samhverft, stenst yfirferð og bregst hljóðlega því B sér aldrei pakka með uppruna biðlara.

Öryggishópar og síðasti metrinn af heimild

Beining setur pakka inn í B; B ákveður samt. Fyrir virka peering-tengingu á sama svæði getur öryggishópur í B vísað í hópinn sem er notaður á Client VPN-tenginguna, sem heldur reglunni þröngri og lifir af vistfangabreytingar. Þar sem hópvísun er ekki möguleg skaltu leyfa svið association-undirnetsins skýrt í stað þess að víkka út í 0.0.0.0/0, sem breytir beiningarvillu í óútskýrðan tímafrest.

Athugaðu síðan það sem beining snertir aldrei: net-ACL á báðum undirnetum, leyfislistann eða áhorfendur táknsins, og DNS. Peering afritar ekki einkanetstaði í hýsingu, svo fartölvan getur haldið virkri leið að vistfangi sem hún getur ekki leyst, og peering-tenging bætir engu trausti við skírteini. Beindu endpointinu að leysi sem svarar fyrir B, og staðfestu síðan að einkanaðnið og skírteinið passi saman.

Hvenær bastioninn er heiðarlegt svar

Ég held þremur kveikjum fyrir viljandi vali á bastion. Peering-VPC-ið tilheyrir teymi sem mun ekki bæta afturleið við sviðið þitt eða mun ekki samþykkja hópvísun. Aðgangur verður að vera samþykktur eða skráður fyrir hverja lotu og forritið getur ekki borið það sjálft. Eða síðasta hoppið verður að vera inni í B því þjónustan leysist aðeins þar og TLS-auðkenni hennar er fest við innra nafn.

Ekkert af þessu er hjáleið fram hjá þeirri staðreynd að peering er ekki gegnumstreymis. Gegnumstreymisleysi takmarkar hvað tilföng í B mega gera: þau geta ekki notað A sem gegnumstreymi í þriðja VPC sem A er í peering með. Það þýddi aldrei að VPN-notandi gæti ekki náð beint í peering-VPC, og bastion sem byggður er til að komast hjá þessum ranglestri er hýsitölva sem á að plástra án ástæðu.

Öfug mistök kosta meira með tímanum: þrýstu hverju teymi í gegnum eina bastioninn sem þegar er til, og uppgötvaðu síðan að öryggishópur hans, leiðartafla og plástrunargluggi eru framleiðsluójöfnin. Skrifaðu niður hvaða kveik hýsitölvan þjónar, og dragðu hana út þegar kveikurinn hverfur.

Transit Gateway og nokkrar tengingar breyta reikningnum

Ef endpointið er tengt beint við Transit Gateway í stað undirnets breytist módelið: biðlarar eru ekki lengur þýddir í viðmótsvistfang í association-undirneti, og leiðartöflur gáttarinnar verða að bera biðlarasviðið auk tengingarinnar sem liggur að peering-VPC-inu. Það er hreinna í stórum stíl, en vinnan flyst frá fjórum færslum í leiðartöflur gáttarinnar.

Nokkrar tengingar margfalda athuganirnar. Endpoint-leiðin tilheyrir endpointinu, en hvert association-undirnet þarf leiðartöflu með raunverulegu peering-næsta hoppi. Lota getur tekist um eina tengingu á meðan önnur hefur enga afturleið, svo prófaðu hverja.

Sannprófunarröð sem finnur brotið fljótt

Keyrðu þessar í röð; hvert skref getur staðist á meðan það næsta bregst, og tímafrestur biðlara segir næstum aldrei hvað brotnaði.

1. Leystu nafn forritsins frá biðlaranum og athugaðu að vistfangið sé innan peering-sviðsins.
2. Tengingdu, lestu síðan tengingaskrá endpointisins fyrir þá tengingu sem lauk lotunni.
3. Á því association-undirneti skaltu staðfesta að leiðartaflan bendi peering-sviðinu á virka peering-tengingu.
4. Á auðlindaundirnetinu í B skaltu staðfesta afturfærslu fyrir viðmótssviðið og samsvarandi hópreglur.
5. Prófaðu eina leyfða aðgerð og eina auðlind sem verður að vera óaðgengileg; sú seinni grípur leifar af villuleit.
6. Tengingdu aftur eftir hverja breytingu á split-tunnel leið, því gangandi göng verða ekki við nýju leiðasetti.

Tvö einkenni eru þess virði að muna. SYN sem nær B án svars er næstum alltaf afturleiðin sem vantar. Tenging sem klárast og endurstillist síðan er venjulega hópurinn, ACL-ið eða forritið. Hvort tveggja birtist ekki í skrá endpointisins sem orsök, svo haltu fjórum færslum með eiganda við hverja.

Ef enginn af þremur kveikjunum á við skaltu klára leiðina og skrá þessar fjórar færslur. Ef einn á við skaltu halda bastionnum aðeins fyrir þessi mörk og láta endpoint-leiðina standa fyrir þjónustur sem þurfa ekki lotu fyrir framan sig.