EC2 tra zone di disponibilità: controllate l'instradamento prima di una VPN

Prima di installare un software VPN tra due istanze EC2, rispondete a una domanda: sono nella stessa VPC? Se lo sono, il percorso privato esiste già e una collocazione tra zone non lo cambia. La maggior parte del lavoro in questa situazione è confermare quale tabella di instradamento usa davvero ogni subnet, e poi capire se il guasto fosse mai stato un problema di instradamento. Un tunnel è di solito la risposta sbagliata a questa domanda specifica.

Controllo 1: stessa VPC o VPC diverse

Una VPC è regionale e copre zone di disponibilità, mentre ogni subnet appartiene esattamente a una zona. Due istanze in zone diverse di una stessa VPC restano nello stesso dominio di instradamento privato.

VPC diverse non ottengono mai una rotta privata solo perché condividono una regione o un'etichetta di zona. Quel caso richiede una connessione supportata e un lavoro proprio su rotte e autorizzazioni, che è una decisione separata.

Controllo 2: cosa dicono le tabelle di instradamento delle subnet

Scrivete lo schema con valori reali. Una VPC su 10.60.0.0/16 con le subnet 10.60.1.0/24 e 10.60.2.0/24 dà alle istanze 10.60.1.10 e 10.60.2.20 un percorso attraverso la rotta locale della VPC.

Poi esaminate le tabelle associate a entrambe le subnet, non solo quella che avete trovato per prima. Una rotta di ispezione o di apparato più specifica può sostituire quella di base, e la destinazione della rotta locale stessa può essere rimpiazzata in configurazioni più recenti. Una rotta locale visibile da qualche parte nella console non prova che entrambi i carichi di lavoro la usino.

Usate gli indirizzi e i nomi privati che la VPC assegna davvero. Un indirizzo privato non deve iniziare per 10, e inventarne uno a memoria è il modo in cui un ambiente che funziona viene diagnosticato male.

Controllo 3: instradamento o autorizzazione

L'instradamento porta il pacchetto solo fino all'interfaccia di rete della destinazione. Il gruppo di sicurezza di destinazione deve ancora ammettere l'origine e il servizio, le regole in uscita dell'origine devono consentire la richiesta, e qualsiasi ACL di rete deve permettere entrambe le direzioni perché le ACL non conservano lo stato.

Dietro ci sono il firewall dell'ospite, il binding del listener e l'identità dell'applicazione stessa. Ognuno può rifiutare una richiesta che l'instradamento ha consegnato perfettamente.

L'accettazione deve essere la vera operazione dell'applicazione. Un ping riuscito non concede accesso all'applicazione e non prova che il nome TLS e le credenziali siano corretti, e un ping bloccato non dimostra che ogni servizio privato sia inattivo.

Controllo 4: serve davvero una connessione separata

Una VPN può ancora rientrare nel progetto, ma per un motivo dichiarato: collegare questa VPC a un ufficio, ammettere portatili o soddisfare un requisito di overlay. Quel motivo è diverso dalla comunicazione ordinaria dentro la stessa VPC.

Ricordate anche cosa non è una VPC. Non è un'estensione di un segmento Ethernet domestico. Un'applicazione che dipende dal rilevamento broadcast ha un requisito separato da valutare. È una lacuna di progettazione, non un bug di instradamento.

Controllo 5: la questione della cifratura

Un indirizzo privato e una regola di autorizzazione non dicono nulla sulla protezione crittografica a livello applicativo. Se i dati richiedono una protezione end-to-end, questa deriva dal protocollo e dal modello di identità che il servizio supporta davvero.

Tenete separate le affermazioni sul livello di rete e sul livello applicativo nella nota di progetto, perché fonderle è il modo in cui una revisione finisce per affermare una protezione che nessuno ha implementato.

Cosa registrare

Registrate entrambi gli identificatori di subnet, la tabella di instradamento associata a ciascuna, i riferimenti dei gruppi di sicurezza e l'operazione applicativa che avete testato. Sono quattro fatti, e risolvono la maggior parte delle discussioni future su questo percorso.

La collocazione in una zona da sola non vi dice mai di aggiungere una VPN, e non spiega mai perché una richiesta privata è fallita.