EC2-ის Elastic IP არ არის ინსტანსის კერძო VPN მისამართი
სტუმარი Elastic IP-ს არასდროს ხედავს. მიჰყევით, სად ხდება თარგმანი, შემდეგ აირჩიეთ მისამართი, რომელიც ეკუთვნის იმ გზას, რომელიც ნამდვილად გჭირდებათ.
ინსტანსს აქვს კერძო მისამართი, Elastic IP მასზეა მიბმული და ამ საჯარო /32-ისთვის მარშრუტი ემატება VPN-ს იმ იმედით, რომ ორივე ერთი და იგივე გახდება. არ ხდება. Elastic IP არის თარგმანი, რომელიც შესრულდება სტუმრის გარეთ, ინტერნეტ კარიბჭის მიერ, იმ ტრაფიკზე, რომელიც ინტერნეტ გზას მიჰყვება. სტუმრის ოპერაციული სისტემა ამ მისამართს არასდროს ხედავს ინტერფეისზე კონფიგურირებულს. მისი დამატება გვირაბის ინტერფეისზე არ ამრავლებს ზედა დონის თარგმანს და ქმნის მეორე, წინააღმდეგობრივ იდენტობას იმავე მანქანისთვის.
ორი მისამართი, ერთი ინსტანსი
ინსტანსის ქსელური ინტერფეისი VPC-ის შიგნით კერძო მისამართს ინახავს და ეს არის ის მისამართი, რომელიც სტუმარმა იცის. Elastic IP იმავე ინტერფეისზეა მიბმული, მაგრამ ცხოვრობს რუკების საჯარო მხარეს.
ყველაფერი, რაც ინტერნეტით ინსტანსს აღწევს, კერძო მისამართზე თარგმნილი მოდის. ყველაფერი, რასაც ინსტანსი ინტერნეტში აგზავნის, გადის Elastic IP-ით როგორც წყაროთი, კვლავ ამ თარგმანის გამო.
სტუმრის შიგნით ერთი მისამართი არსებობს. გარეთ ორი. ეს ასიმეტრია ხსნის ამ სფეროში დაბნეულობის უმეტეს ნაწილს. სტუმარს არ შეუძლია დააკონფიგურიროს, რას თარგმნის კარიბჭე. მას შეუძლია პასუხი გასცეს მხოლოდ იმ მისამართზე, რომელიც რეალურად აქვს.
რას აკეთებს რეალურად ინტერნეტ კარიბჭე
AWS-ის ინტერნეტ კარიბჭის დოკუმენტაცია აღწერს ამ განლაგებას: ინსტანსმა იცის თავისი კერძო IPv4 მისამართი და კარიბჭე უზრუნველყოფს შესაბამის თარგმანს საჯარო IPv4 ან Elastic IP-ზე ინტერნეტ გზის ტრაფიკისთვის.
ეს ქსელური მისამართების თარგმანია და არა ფსევდონიმი. რუკებს კარიბჭე ინახავს, ის დაკავშირებულია ასოციაციასთან და ვრცელდება მხოლოდ იმ პაკეტებზე, რომლებიც მასში გადის. მოხსენით ასოციაცია და საჯარო იდენტობა გაქრება ისე, რომ სტუმარი ვერაფერს შეამჩნევს.
ამიტომ საჯარო /32-ზე მიმართული კერძო VPN პაკეტი არ გადაითარგმნება ხელახლა როგორც კერძო პაკეტი სტუმრის ლოკალურ მისამართზე. პაკეტი მიჰყვება მარშრუტს, რომელსაც ემთხვევა, და ეს უგზავნის მას ინტერნეტ კარიბჭესთან, ხოლო კარიბჭის ქცევა დამოკიდებულია იმაზე, დაშვებულია თუ არა გზა ორივე მიმართულებით.
რატომ ვერ მუშაობს გვირაბის ინტერფეისის ხრიკი
Elastic IP-ის გვირაბის ინტერფეისზე მინიჭება სტუმარს სთხოვს, საჯარო მისამართს ლოკალურად მოექცეს. ახლა ორი რამ აცხადებს პრეტენზიას ერთსა და იმავე მისამართზე: კარიბჭის თარგმანი ინტერნეტ გზაზე და ლოკალური ინტერფეისი გვირაბის შიგნით. დაბრუნებულ ტრაფიკს არ აქვს თანმიმდევრული პასუხი, რომელი მოქმედებს.
მაშინაც კი, როცა ჩანს, რომ მუშაობს, დიზაინმა დამალა ნამდვილი კითხვა. კლიენტები ან გვირაბით აღწევენ კერძო მისამართს, ან ინტერნეტით აღწევენ საჯარო ბოლო წერტილს, და ამ ორ გზას განსხვავებული უსაფრთხოების ჯგუფები, განსხვავებული ლოგირება და განსხვავებული მარცხის რეჟიმები აქვს.
მისამართი არასდროს ყოფილა პრობლემა. გზის არჩევანი იყო.
სამი მიზანი, სამი დიზაინი
თუ მიზანი საჯარო VPN ბოლო წერტილია, Elastic IP სწორი ინსტრუმენტია: დისტანციური პირები მასზე ინტერნეტით უკავშირდებიან და დაშიფრული ტრანსპორტი ინსტანსზე სრულდება. შიდა აპლიკაციის ტრაფიკი შემდეგ კერძო მისამართს იყენებს.
თუ მიზანი აპლიკაციაზე კერძო წვდომაა, დანიშნულება კერძო მისამართია ან კერძო DNS სახელი, რომელიც მასზე იხსნება, და VPN მარშრუტი, უსაფრთხოების ჯგუფი და დაბრუნების გზა ყველა უნდა შეთანხმდეს. Elastic IP ამ დიზაინში საერთოდ არ ჩანს.
თუ მიზანი VPN მომხმარებლებისთვის სტაბილური საჯარო გასასვლელი იდენტობაა, ეს NAT დიზაინია გასასვლელ მხარეს და არა მისამართი კლიენტის გვირაბზე. სამი მსგავსად ჟღერადი მიზანი სამ განსხვავებულ დიაგრამას იძლევა და მხოლოდ ერთი მათგანი გულისხმობს Elastic IP-ის ახალ ადგილას განთავსებას.
შეამოწმეთ თქვენ მიერ არჩეული გზა
კერძო წვდომისთვის დაადასტურეთ, რომ VPN მარშრუტი ფარავს კერძო პრეფიქსს, VPC-ის მარშრუტების ცხრილი ტრაფიკს გვირაბს უბრუნებს, უსაფრთხოების ჯგუფი კლიენტის წყაროს უშვებს და კლიენტის საკუთარი firewall პასუხს უშვებს. შემდეგ გამოსცადეთ ერთი რეალური მოთხოვნა ping-ის ნაცვლად.
საჯარო წვდომისთვის დაადასტურეთ კლიენტის ინტერნეტ გასასვლელი, საჯარო შესასვლელის მარშრუტიზაცია და მისი უსაფრთხოების პოლიტიკა. VPN კლიენტს შეუძლია თუ არა გვირაბით საჯარო ბოლო წერტილამდე მისვლა, დამოკიდებულია გვირაბის გასასვლელ და firewall წესებზე და არა Elastic IP-ის ასოციაციაზე.
თუ საჯარო ჰოსტის სახელი ორივე მხრიდან უნდა მუშაობდეს, გამოიყენეთ DNS დიზაინი, რომელიც VPN კლიენტებს კერძო მისამართით პასუხობს, ყველა დანარჩენს კი საჯარო მისამართით, და შეინახეთ სერტიფიკატი ვალიდურად სახელისთვის და არა მისამართისთვის. სამუშაოს რიგი: დაასახელეთ მიზანი, აირჩიეთ მასზე მიკუთვნებული მისამართი, შემდეგ შეამოწმეთ მარშრუტები, პოლიტიკა და ერთი მოთხოვნა.