Hvaða uppsprettu-IP notar NAT-gátt AWS í átt að VPN?

Þú opnar VPC-stjórnborðið af því að samstarfsaðili spurði hvaða uppsprettusvið komi yfir Site-to-Site VPN. NAT-gáttasíðan sýnir almenna gátt með tengdu Elastic IP, og freistingin er að senda það vistfang og halda áfram. Það er rétta svarið fyrir internetleiðina og rangt svar fyrir VPN-leiðina, og munurinn er hvaða gátt leiðartöflurnar benda á. Farðu leiðina áður en þú skrifar leyfislistann.

Byrjaðu á NAT-gáttasíðunni, ekki á leyfislistanum

NAT-gáttasíðan segir þér undirnetið, tegundina og Elastic IP-ið, og þessi þrjú svæði duga til að byrja. Það sem hún segir ekki er leiðin sem umferðin fer eftir það. Það kemur frá leiðartöflunum sem eru tengdar undirneti NAT-gáttarinnar.

Lestu tegundina fyrst, því almennt eða einkaaðgangur ræður því hvort internetgátt birtist síðar í keðjunni. Lestu svo undirnetið, því þar býr önnur leiðin.

Fylgdu báðum umbreytingunum

Bæði almennar og einkaaðgangs NAT-gáttir umbreyta einka-IPv4-uppsprettu vinnuálagsins í eigið einka-IPv4-vistfang NAT-gáttarinnar. Þessi fyrsta umbreyting gerist óháð tegundinni. Önnur umbreytingin er sú sem fólk gleymir: almenn NAT-gátt afhendir umferðina internetgáttinni, sem varpar vistfanginu á tengda Elastic IP-ið.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Á einkaleiðinni er engin internetgátt í keðjunni. Þegar umferð fer út um flutningsgátt eða sýndareinkagátt skjalfestir NAT-gáttaleiðarvísirinn einkavistfang NAT-gáttarinnar sem uppsprettuna sem fjarlægi aðilinn fær. Það er vistfangið sem samstarfsaðilinn á að leyfa, ekki Elastic IP-ið.

VPN-leiðin sýnir venjulega einkavistfangið

Fyrir vinnuálag í 10.20.1.0/24 sem nær forskeyti samstarfsaðila bendir leiðartafla undirnets vinnuálagsins á NAT-gáttina, og leiðartafla undirnets NAT-gáttarinnar bendir á leið einkagáttarinnar. Báðar stökk skipta máli, og aðeins annað ræður því hvað samstarfsaðilinn sér. Ef NAT-undirnetið hefur enga leið að VPN-leiðinni kemst pakkinn aldrei, og það er önnur bilun en rangt uppsprettuvistfang.

Staðfestu aðra leiðina áður en þú talar yfirhöfuð um vistföng. Vantar leið og rangt tilkynnt uppspretta líta nákvæmlega eins út fyrir samstarfsaðila sem einfaldlega sér enga umferð.

Þegar önnur umbreyting breytir svarinu

AWS býður einnig upp á skýra, samsvarandi einn-á-einn NAT-vörpun á flutningsgáttarviðhengi. Sú vörpun getur umbreytt uppsprettunni enn einu sinni áður en fjarlæga þjónustan sér hana, og það er ekki sjálfgefin hegðun sem aðeins beinir. Þar sem hana verður að stilla viljandi skal meðhöndla hana sem hönnunarundantekningu en ekki eitthvað sem þú erfir fyrir slysni. Ef enginn í liðinu þínu man eftir að hafa kveikt á henni skaltu gera ráð fyrir að hún vanti þar til þú hefur lesið viðhengið.

Ef hönnunin þín notar hana verður leyfislistinn að lýsa endanlegu vörpuninni en ekki vistfangi NAT-gáttarinnar. Sama varúð á við um framboðsleiðir: þegar nokkur gáttarvistföng taka þátt er væntanlegt uppsprettusafn sameiningin, ekki eitt fulltrúavistfang. Skrifaðu niður hvaða umbreytingu hvert vistfang tilheyrir, því listi án uppruna er ómögulegt að endurskoða síðar.

Ekki er hægt að veita einkaaðgangs NAT-gátt internetþjónustu með því að beina henni að internetgátt; AWS skjalfestir að slíkri umferð sé hent. Veldu tegundina út frá fullri leiðinni, ekki orðinu VPN í kröfunni.

Skrifaðu samninginn sem samstarfsaðilinn þinn getur unnið eftir

Notanlegi samningurinn hefur fjóra hluta: stefnuna sem flæðin hefjast frá, umbreytta auðkennið sem samstarfsaðilinn mun sjá, afturleiðina fyrir það auðkenni og verndarumfangið sem gildir. Flæði NAT-gáttarinnar hefjast frá studdu uppsprettuhliðinni, svo þetta er ekki þjónusta fyrir inngangsportaáframsendingu til að afhjúpa einkavinnuálag. Að segja það hátt snemma kemur í veg fyrir hönnunarúttekt þar sem hvor aðili gerði ráð fyrir að hinn hefði byrjað.

Umbreyting kaupir léttir frá skörun vistfanga og fyrirsjáanlega uppsprettustefnu, og hún kostar þig einstakt auðkenni vinnuálagsins í annálum samstarfsaðilans. Ef endurskoðun þarf rekjanleika fyrir hvert vinnuálag skaltu halda því auðkenni á forritslaginu í stað þess að reyna að endurheimta það úr umbreyttu uppsprettuvistfangi.

Athugaðu síðan báðar leiðartöflurnar aftur eftir hverja breytingu, því nýtt viðhengi eða endurtengt undirnet endurskrifar svarið hljóðlaust.