EC2-дегі Access Server толық туннелі: неге бір құсбелгі жеткіліксіз

EC2 данасында көз бен мақсатты тексеруді өшіру - Access Server-дің интернетке шығуы туралы сұрақтарға ең жиі қайталанатын жауап, және ол өздігінен клиенттеріңіз үшін ештеңе жасамайды. Тексеру - AWS-тің қайта жіберу шектеуі: ол данаға көзі немесе мақсаты өзінің мекенжайы болып табылмайтын пакеттерді қабылдауға мүмкіндік береді. Ол Access Server клиентіне интернет трафигін туннель арқылы жіберуді айтпайды, жоғары қарай маршрут жасамайды және NAT қоспайды. Миф - құсбелгінің өзі функция болып табылады.

Тексеру шын мәнінде нені басқарады

Әрбір EC2 желілік интерфейсі өзіне арналмаған трафикті тастайды, егер дана маршрутизатор, NAT құрылғысы немесе VPN шлюзі ретінде әрекет етіп, сіз сол тексеруді өшірмесеңіз. Оны өшіру қайта жіберуге рұқсат береді. Рұқсат конфигурация емес: данаға әлі де интернет шлюзіне немесе NAT құрылғысына маршрут керек, VPC маршрут кестесіне әлі де сәйкес жазба керек, қауіпсіздік топтары әлі де ағынға рұқсат беруі керек, ал сервер әлі де қайтарылатын трафикті аударуы немесе маршруттауы керек.

Бірдеңені өзгертуден бұрын ағымдағы мәнді aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck арқылы тексеріңіз. Егер оны консольде өзгертсеңіз, дана басқалар үшін қайта жіберетіндіктен өзгертіңіз, клиент интернетке жете алмағандықтан емес.

Клиенттің маршруттау саясаты Access Server-ге тиесілі

Access Server 3 ішінде Access Controls ашып, Internet Access and DNS бөлімін табыңыз. Internet Gateway таңдауы толық немесе бөлінген туннельді ұсынады; толық туннель клиентке әдепкі трафигін VPN ішіне маршруттауды айтады, бөлінген туннель интернет трафигін клиенттің жергілікті жолында қалдырады. Өнімнің жұмыс ағыны арқылы сақтап қолданыңыз, содан кейін сынақ клиентін қайта қосыңыз, өйткені саясат қосылу сәтінде жеткізіледі.

Ескірген шығарылымдар басқа мәзірлерді пайдаланады және кейбір Community OpenVPN құрастырылымдарында баламалы басқару жоқ. Жоқ экранды іздеуден бұрын орнатылған негізгі нұсқаны тексеріңіз. Содан кейін клиенттің не алғанын растаңыз: толық туннель профилі туннель арқылы әдепкі маршрутты орнатуы керек, ал бөлінген туннель профилі оны жасамауы керек.

Туннельден кейін пакетті бақылаңыз

Клиент интернет трафигін туннельге жібергеннен кейін сервер оны қайта жіберуі және әдетте аударуы керек. Access Server өзінің NAT және маршруттау ережелерін басқарады, сондықтан құрылған файлдарға Community OpenVPN ережелерін қосудың орнына нақты конфигурацияны оқыңыз; басқарылмайтын ережелер келесі өнім жаңартуында қайта жазылады немесе қақтығысады. sudo iptables -t nat -L -n -v немесе nftables баламасы шын мәнінде ненің аударылып жатқанын көрсетеді.

AWS жағы бөлек жол. Жалпыға қолжетімді қосалқы желідегі дана интернет шлюзіне тікелей жетеді және өзінің жалпы мекенжайын немесе серпімді IP-ін сақтайды. Жеке қосалқы желідегі данаға NAT шлюзіне немесе NAT данасына маршрут керек, ал NAT құрылғысына өзінің интернет шлюзіне маршруты керек. Интернет шлюзін VPC-ге тіркеу өздігінен ешбір жеке көзге жалпы қайтару мекенжайын бермейді, сондықтан бірдей Access Server баптауы бір қосалқы желіде жұмыс істейді, ал екіншісінде үнсіз сәтсіз болады.

Дананың қосалқы желісіне байланыстырылған маршрут кестесін тексеріңіз, тек VPC-нің негізгі кестесін емес. Қосалқы желі бірлестіктері негізгі кестеден басым болады, ал ескірген бірлестік жұмыс істеп тұрған конфигурацияның қайта құрудан кейін тоқтауының жиі себебі.

IP шығуы мен DNS-ті бөлек ұстаңыз

Алдымен мекенжай литералын, содан кейін атауды сол клиент қолданбасынан сынаңыз. Егер curl -4 https://checkip.amazonaws.com жалпы мекенжайды қайтарса, бірақ хост атаулары сәтсіз болса, туннель мен NAT жолы жұмыс істейді, ал мәселе DNS-те: жіберілген шешуші, клиенттің шешуші күйі немесе шешушіні бөгейтін қауіпсіздік тобы. Access Server-дің DNS параметрлері сол Internet Access аймағында, бірақ олар басқа код жолымен жүреді.

Қайтарылған мекенжайды көздеген шығуыңызбен салыстырыңыз. Егер ол дананың жалпы мекенжайы болса, трафикті дана аударады; егер ол NAT шлюзінің мекенжайы болса, жеке қосалқы желі жолы қолданылады. Екеуі де дұрыс болуы мүмкін. Сіз шығара алмайтын қорытынды - сервердегі браузер клиенттің қайта жіберілуін дәлелдейді деген.

Бір құсбелгіге тергеуді жапқызбаңыз

IPv6 - бөлек шешім. IPv4 үшін толық туннель саясаты IPv6-ның тасымалдануы, бөгелуі немесе ағуы туралы ештеңе айтпайды, ал қос қабатты клиент IPv4 туннельде болғанда өзінің жергілікті IPv6 жолын пайдалануды жалғастыра алады. Сізге шын мәнінде маңызды мекенжай тобын сынаңыз және екіншісін өшіру керек пе екенін анық шешіңіз.

Соңында ажыратылған күйді сынаңыз. Толық туннель таңдауы қосылған кездегі маршруттау саясатын сипаттайды, туннель құлағанда не болатынын емес. Егер талап VPN-нен тыс ешбір трафиктің шықпауы болса, бұл kill-switch және өрт қабырғасы мәселесі және маршрут кестесінен қорытынды жасаудың орнына өз сынағы қажет.