AWS Client VPN გაყოფილი გვირაბით: რომელი მარშრუტები უნდა გამოაქვეყნოთ
გაყოფილი გვირაბი მარშრუტების სიაა და არა მოსანიშნი უჯრა. გადაწყვიტეთ სად მიდის ინტერნეტ ტრაფიკი, რომელი კერძო პრეფიქსები გამოქვეყნდეს და რომელი resolver გამოიყენოთ.
კონსოლი გაყოფილი გვირაბის გადამრთველს გთავაზობთ, ამიტომ გადაწყვეტილება მოსანიშნ უჯრას ჰგავს. ასე არ არის. კლიენტამდე რეალურად აღწევს ბოლო წერტილის გამოქვეყნებული მარშრუტების ნაკრები და სწორედ ეს სია განსაზღვრავს, რომელი კერძო პრეფიქსები იყენებენ გვირაბს, რჩება თუ არა ზოგადი ინტერნეტ ტრაფიკი ლოკალური თუ გადის AWS-ით, და რომელ resolver-თან შეუძლია კლიენტს ჯერ კიდევ საუბარი. სამი კითხვა წყვეტს დიზაინს და თითოეულზე შეიძლება ცუდად პასუხის გაცემა, სანამ კავშირი მაინც წარმატებით მუშაობს.
გაყოფილი გვირაბის დროშა დანიშნულებების სია არ არის
AWS გაყოფილ გვირაბს აღწერს როგორც ბოლო წერტილის მარშრუტების დამატებას კლიენტის მარშრუტების ცხრილში კავშირის დამყარებისას. კერძო VPC-ის მარშრუტი გვირაბს ამ დანიშნულებით ზღუდავს; დანარჩენი ყველაფერი კლიენტის ჩვეულ გზას მიჰყვება. ნაგულისხმევი მარშრუტი სხვა ინსტრუქციაა სხვა ეფექტით, ამიტომ გაყოფილი გვირაბის დოკუმენტაცია აფრთხილებს 0.0.0.0/0-ის გამოქვეყნების წინააღმდეგ ამ რეჟიმისთვის კონფიგურირებულ ბოლო წერტილზე: ეს ჩვეულებრივ არღვევს კავშირს და არ აფართოებს მას. ბოლო წერტილის მარშრუტების ცხრილი პოლიტიკაა, ხოლო კლიენტის მარშრუტების ცხრილი შედეგია, რომელიც შეგიძლიათ შეამოწმოთ.
წაიკითხეთ ბოლო წერტილის მარშრუტების ცხრილი და კლიენტში ინსტალირებული მარშრუტები ერთად. ეტიკეტი განზრახვას აღწერს; მარშრუტები აღწერენ რა ხდება.
პირველი გადაწყვეტილება: უნდა დარჩეს ზოგადი ინტერნეტ ტრაფიკი ლოკალური?
თუ დათვალიერება მომხმარებლის საკუთარ კავშირს უნდა იყენებდეს, გამოაქვეყნეთ მხოლოდ ის კერძო დანიშნულებები, რომლებიც სამუშაოს სჭირდება და იქ გაჩერდით. ნუ დაამატებთ ინტერნეტ მარშრუტს იმიტომ, რომ სრული გვირაბის გაკვეთილი ერთს შეიცავდა, და ნუ ჩათვლით, რომ დამატებითი მარშრუტი უსაფრთხოებას აუმჯობესებს. ის ცვლის გზას, პოლიტიკას არ ამატებს და ჩვეულებრივ ღირს ის შეყოვნება, რომელიც არ დაგეგმეთ.
თუ ინტერნეტ ტრაფიკი AWS-ით უნდა გავიდეს, ააგეთ დოკუმენტირებული ინტერნეტ წვდომის არქიტექტურა: ბოლო წერტილის მარშრუტი, ავტორიზაციის წესები, დაკავშირებული ქვექსელის გზა, უსაფრთხოების პოლიტიკა და მუშა ზედა გასასვლელი. მხოლოდ ნაგულისხმევი მარშრუტი არც ერთს არ იძლევა.
მეორე გადაწყვეტილება: რომელი კერძო პრეფიქსები და ვისი ავტორიზაციით?
გამოაქვეყნეთ რეალურ დატვირთვას რომ ემსახურება დანიშნულებების უმცირესი ნაკრები და შეამოწმეთ, რომ ყოველ დაკავშირებულ ქვექსელს შეუძლია მათკენ მარშრუტიზაცია. ბოლო წერტილის მარშრუტის სამიზნე და ქვექსელის VPC მარშრუტიზაცია სხვადასხვა ფენაა და ერთში არსებული მარშრუტი მეორის მტკიცებულება არ არის. ავტორიზაცია ისევ ცალკეა: დანიშნულება შეიძლება მისაწვდომი იყოს და მაინც უარყოფილი, რადგან კლიენტის ჯგუფს არ აქვს წესი, რომელიც მას უშვებს.
ერთი წარმატებული სესიის ტესტირება ერთ გზას ამტკიცებს. შეამოწმეთ ყოველი დაკავშირებული ქვექსელი, რადგან მოგვიანებით დამატებული ქვექსელის ასოციაცია ზუსტად ის ადგილია, სადაც ხშირად ზის დაკარგული მარშრუტი.
როცა დანიშნულება სახელით უნდა იყოს მისაწვდომი, გაითვალისწინეთ, რომ შემდეგი კითხვა სახელების გარჩევაა და არა მარშრუტი.
მესამე გადაწყვეტილება: რომელი resolver მიჰყვება გვირაბს?
კლიენტმა შეიძლება მიიღოს DNS სერვერი, რომელიც მხოლოდ VPN-ითაა მისაწვდომი და ეს resolver მუშაობს მხოლოდ მაშინ, თუ მისი მისამართი თავად ავტორიზებული მარშრუტის შიგნითაა. გადაამოწმეთ ორივე ნახევარი: resolver-ის მისამართი გამოქვეყნებულ მარშრუტს მიჰყვება და სერვერი პასუხობს იმ სახელებს, რომლებსაც აპლიკაცია ითხოვს. მისამართით წარმატებული, მაგრამ ჰოსტის სახელით წარუმატებელი მოთხოვნა დასახელებაზე მიუთითებს და არა მარშრუტიზაციაზე, და ამ შემთხვევაში გვირაბის გამართვა შუადღეს ხარჯავს.
საჯარო სახელები ისე უნდა გაირჩეს, როგორც კავშირამდე, რაც კიდევ ერთი მიზეზია ზუსტი იყოთ იმაში, რასაც აქვეყნებთ.
შეცვალეთ მარშრუტების ნაკრები და შემდეგ გადაამოწმეთ ორივე სამყარო
AWS ადასტურებს, რომ გაყოფილი გვირაბის ბოლო წერტილზე მარშრუტების შეცვლა კლიენტის კავშირებს ახლიდან აყენებს. დაგეგმეთ ცვლილება ამის გათვალისწინებით: გამოიყენეთ, ხელახლა დაუკავშირდით მხარდაჭერილი კლიენტით და ხელახლა წაიკითხეთ ინსტალირებული მარშრუტები, ნაცვლად იმისა, რომ დაეყრდნოთ რედაქტირებამდე გამოყენებულ მდგომარეობას. მოძველებული გამოყენებული მდგომარეობა ყველაზე გავრცელებული მიზეზია, რის გამოც სწორი ცვლილება გატეხილად გამოიყურება.
მიიღეთ დიზაინი მხოლოდ მაშინ, როცა ერთი კერძო რესურსი და ერთი საჯარო დანიშნულება ორივე განზრახვისამებრ იქცევიან, სახელით და მისამართით, იმ მისამართების ოჯახებში, რომლებსაც ნამდვილად უჭერთ მხარს. გვირაბი, რომელიც ავთენტიფიკაციას ახდენს, არ არის იგივე, რაც სწორად გამყოფი გვირაბი.
დაწერეთ მარშრუტების სია runbook-ში მსჯელობის გვერდით, რათა შემდეგმა ადამიანმა განასხვავოს განზრახ გამორიცხვა დავიწყებულისგან.