რომელ წყარო IP-ს იყენებს AWS-ის NAT კარიბჭე VPN-ის მიმართულებით?

თქვენ ხსნით VPC კონსოლს, რადგან პარტნიორმა იკითხა, რომელი წყაროს დიაპაზონი მოვა Site-to-Site VPN-ით. NAT კარიბჭეების გვერდი აჩვენებს საჯარო კარიბჭეს მიბმული Elastic IP-ით და ცდუნება ის არის, რომ გააგზავნოთ ეს მისამართი და გააგრძელოთ. ეს არის სწორი პასუხი ინტერნეტის გზისთვის და არასწორი პასუხი VPN-ის გზისთვის, და განსხვავება იმაშია, რომელ კარიბჭეზე მიუთითებს მარშრუტების ცხრილი. გაიარეთ მარშრუტი, სანამ დაწერთ დაშვებულ სიას.

დაიწყეთ NAT კარიბჭეების გვერდიდან და არა დაშვებული სიიდან

NAT კარიბჭეების გვერდი გეუბნებათ ქვექსელს, ტიპს და Elastic IP-ს და ეს სამი ველი საკმარისია დასაწყებად. რასაც ის არ გეუბნებათ, არის გზა, რომელსაც ტრაფიკი შემდეგ მიჰყვება. ეს გამომდინარეობს NAT კარიბჭის ქვექსელზე მიბმული მარშრუტების ცხრილებიდან.

ჯერ წაიკითხეთ ტიპი, რადგან საჯარო თუ კერძო განსაზღვრავს, გამოჩნდება თუ არა მოგვიანებით ჯაჭვში ინტერნეტის კარიბჭე. შემდეგ წაიკითხეთ ქვექსელი, რადგან სწორედ იქ ცხოვრობს მეორე მარშრუტი.

მიჰყევით ორ გარდაქმნას

როგორც საჯარო, ისე კერძო NAT კარიბჭეები სამუშაო დატვირთვის კერძო IPv4 წყაროს გარდაქმნიან თავად NAT კარიბჭის კერძო IPv4 მისამართად. ეს პირველი გარდაქმნა ხდება ტიპის მიუხედავად. მეორე გარდაქმნა ის არის, რასაც ავიწყდებათ: საჯარო NAT კარიბჭე ტრაფიკს გადასცემს ინტერნეტის კარიბჭეს, რომელიც მისამართს უკავშირებს მიბმულ Elastic IP-ს.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

კერძო გზაზე ჯაჭვში ინტერნეტის კარიბჭე არ არის. როცა ტრაფიკი გადის ტრანზიტული კარიბჭით ან ვირტუალური კერძო კარიბჭით, NAT კარიბჭეების სახელმძღვანელო აღრიცხავს NAT კარიბჭის კერძო მისამართს როგორც წყაროს, რომელსაც შორეული მხარე იღებს. სწორედ ეს მისამართი უნდა დაუშვას პარტნიორმა და არა Elastic IP.

VPN-ის გზა ჩვეულებრივ აჩვენებს კერძო მისამართს

10.20.1.0/24-ში მყოფი სამუშაო დატვირთვისთვის, რომელიც აღწევს პარტნიორის პრეფიქსს, სამუშაო დატვირთვის ქვექსელის მარშრუტების ცხრილი მიუთითებს NAT კარიბჭეზე, ხოლო NAT კარიბჭის ქვექსელის მარშრუტების ცხრილი — კერძო კარიბჭის გზაზე. ორივე ნახტომი მნიშვნელოვანია და მხოლოდ მეორე განსაზღვრავს, რას ხედავს პარტნიორი. თუ NAT ქვექსელს VPN-ის გზის მარშრუტი არ აქვს, პაკეტი ვერასოდეს ჩავა და ეს სხვა წარუმატებლობაა, ვიდრე არასწორი წყაროს მისამართი.

გადაამოწმეთ ეს მეორე მარშრუტი, სანამ საერთოდ მისამართებზე ისაუბრებთ. დაკარგული მარშრუტი და არასწორად მოხსენებული წყარო ერთნაირად გამოიყურება პარტნიორისთვის, რომელიც უბრალოდ ტრაფიკს ვერ ხედავს.

როცა მეორე გარდაქმნა ცვლის პასუხს

AWS ასევე გთავაზობთ გამოკვეთილ, შესაბამის ერთიდან-ერთზე NAT რუკას ტრანზიტული კარიბჭის დანართზე. ამ რუკას შეუძლია კიდევ ერთხელ გადააქციოს წყარო, სანამ შორეული სერვისი დაინახავს მას, და ეს არ არის ნაგულისხმევი ქცევა, რომელიც მხოლოდ მარშრუტიზაციას აკეთებს. რადგან ის განზრახ უნდა დაკონფიგურირდეს, მოეპყარით მას როგორც დიზაინის გამონაკლისს და არა როგორც რამეს, რასაც შემთხვევით მემკვიდრეობით იღებთ. თუ თქვენს გუნდში არავის ახსოვს მისი ჩართვა, ჩათვალეთ, რომ ის არ არის, სანამ არ წაიკითხავთ დანართს.

თუ თქვენი დიზაინი მას იყენებს, დაშვებულმა სიამ უნდა აღწეროს საბოლოო რუკა და არა NAT კარიბჭის მისამართი. იგივე სიფრთხილე ეხება ხელმისაწვდომობის გზებს: როცა რამდენიმე კარიბჭის მისამართი მონაწილეობს, მოსალოდნელი წყაროების სიმრავლე გაერთიანებაა და არა ერთი წარმომადგენლობითი მისამართი. ჩაწერეთ, რომელ გარდაქმნას ეკუთვნის თითოეული მისამართი, რადგან წარმოშობის გარეშე სიის აუდიტი მოგვიანებით შეუძლებელია.

კერძო NAT კარიბჭეს არ შეიძლება მიეცეს ინტერნეტ სერვისი ინტერნეტის კარიბჭეზე მიმართვით; AWS აღრიცხავს, რომ ასეთი ტრაფიკი იშვრება. აირჩიეთ ტიპი სრული გზიდან და არა მოთხოვნაში არსებული სიტყვა VPN-იდან.

დაწერეთ ხელშეკრულება, რომლის მიხედვითაც თქვენს პარტნიორს შეუძლია იმოქმედოს

გამოსაყენებელ ხელშეკრულებას ოთხი ნაწილი აქვს: მიმართულება, საიდანაც იწყება ნაკადები, გარდაქმნილი იდენტობა, რომელსაც პარტნიორი ნახავს, ამ იდენტობის დაბრუნების გზა და მოქმედი დაცვის არე. NAT კარიბჭის ნაკადები იწყება მხარდაჭერილი წყაროს მხრიდან, ამიტომ ეს არ არის შემომავალი პორტების გადამისამართების სერვისი კერძო სამუშაო დატვირთვის გამოსაჩენად. ამის ადრე ხმამაღლა თქმა ხელს უშლის დიზაინის განხილვას, სადაც თითოეული მხარე ფიქრობდა, რომ მეორემ დაიწყო.

გარდაქმნა ყიდულობს შვებას მისამართების გადაფარვისგან და პროგნოზირებად წყაროს პოლიტიკას, და გიღირს სამუშაო დატვირთვის ინდივიდუალური იდენტობა პარტნიორის ჟურნალებში. თუ აუდიტს სჭირდება მიკუთვნება თითოეული სამუშაო დატვირთვისთვის, შეინახეთ ეს იდენტობა აპლიკაციის დონეზე და ნუ ეცდებით მის აღდგენას გარდაქმნილი წყაროს მისამართიდან.

შემდეგ ნებისმიერი ცვლილების შემდეგ კვლავ შეამოწმეთ ორივე მარშრუტების ცხრილი, რადგან ახალი დანართი ან ხელახლა მიბმული ქვექსელი ჩუმად გადაწერს პასუხს.