AWS Client VPN бөлінген туннельмен: қандай маршруттарды жариялау керек

Консоль бөлінген туннель үшін ауыстырғыш ұсынады, сондықтан шешім құсбелгі сияқты көрінеді. Бірақ олай емес. Клиентке шын мәнінде соңғы нүктенің жарияланған маршрут жиыны жетеді, және сол тізім қай жеке префикстер туннельді пайдаланатынын, жалпы интернет трафигі жергілікті қала ма әлде AWS арқылы шыға ма, және клиент қай resolver-мен әлі сөйлесе алатынын анықтайды. Үш сұрақ дизайнды шешеді, және әрқайсысына байланыс сәтті болып тұрса да нашар жауап беруге болады.

Бөлінген туннель жалаушасы — межелер тізімі емес

AWS бөлінген туннельді байланыс орнатылғанда соңғы нүкте маршруттарын клиенттің маршрут кестесіне қосу деп сипаттайды. Жеке VPC үшін маршрут туннельді сол межемен шектейді; қалғаны клиенттің әдеттегі жолымен жүреді. Әдепкі маршрут басқа әсері бар басқа нұсқау, сондықтан бөлінген туннель құжаттамасы осы режимге конфигурацияланған соңғы нүктеде 0.0.0.0/0 жариялауға қарсы ескертеді: бұл байланысты кеңейтудің орнына әдетте бұзады. Соңғы нүктенің маршрут кестесі — саясат, ал клиенттің маршрут кестесі — тексере алатын нәтиже.

Соңғы нүктенің маршрут кестесі мен клиентке орнатылған маршруттарды бірге оқыңыз. Белгі ниетті сипаттайды; маршруттар не болатынын сипаттайды.

Бірінші шешім: жалпы интернет трафигі жергілікті қалуы керек пе?

Егер шолу пайдаланушының өз байланысын қолдануы керек болса, жұмысқа қажет жеке межелерді ғана жариялап, сонда тоқтаңыз. Толық туннель оқулығында біреуі болды деп интернет маршрутын қоспаңыз және қосымша маршрут қауіпсіздікті жақсартады деп ойламаңыз. Ол жолды өзгертеді, саясат қоспайды және әдетте жоспарламаған кідіріске әкеледі.

Егер интернет трафигі AWS арқылы шығуы керек болса, құжатталған интернетке қатынау архитектурасын құрыңыз: соңғы нүкте маршруты, авторизация ережелері, байланысқан қосымша желінің жолы, қауіпсіздік саясаты және жұмыс істейтін жоғарғы шығыс. Тек әдепкі маршрут олардың ешқайсысын бермейді.

Екінші шешім: қандай жеке префикстер және кімнің авторизациясымен?

Нақты жүктемеге қызмет ететін ең кіші межелер жиынын жариялаңыз және әр байланысқан қосымша желінің оларға маршруттай алатынын тексеріңіз. Соңғы нүктенің маршрут мақсаты мен қосымша желінің VPC маршруттауы әртүрлі қабаттар, және бірінде бар маршрут екіншісі туралы дәлел емес. Авторизация тағы бөлек: меже қолжетімді болып, бәрібір қабылданбауы мүмкін, өйткені клиент тобында оған рұқсат беретін ереже жоқ.

Бір сәтті сессияны тексеру бір жолды дәлелдейді. Әр байланысқан қосымша желіні тексеріңіз, өйткені кейінірек қосылған қосымша желі байланысы — жоғалған маршрут әдетте сонда жатады.

Межеге аты бойынша қол жеткізу қажет болса, келесі сұрақ маршрут емес, атауларды шешу екенін ескеріңіз.

Үшінші шешім: қай resolver туннельді ұстанады?

Клиент тек VPN арқылы қолжетімді DNS серверін алуы мүмкін, және бұл resolver тек оның мекенжайы авторизацияланған маршруттың ішінде болса ғана жұмыс істейді. Екі жартысын да тексеріңіз: resolver мекенжайы жарияланған маршрутты ұстанады, ал сервер қосымша сұрайтын атауларға жауап береді. Мекенжай бойынша сәтті, бірақ хост аты бойынша сәтсіз сұраныс атауға, маршруттауға емес, нұсқайды, және бұл жағдайда туннельді жөндеу түстен кейінгі уақытты ысырап етеді.

Жалпыға ортақ атаулар байланысқа дейінгідей шешілуі керек, бұл не жариялайтыныңыз туралы дәл болудың тағы бір себебі.

Маршруттар жиынын өзгертіңіз, содан кейін екі әлемді де тексеріңіз

AWS бөлінген туннель соңғы нүктесінде маршруттарды өзгерту клиент байланыстарын қайта орнататынын құжаттайды. Өзгерісті осыны ескере отырып жоспарлаңыз: оны қолданыңыз, қолдау көрсетілетін клиент арқылы қайта қосылыңыз және өңдеуден бұрын қолданылған күйге сенудің орнына орнатылған маршруттарды қайта оқыңыз. Ескірген қолданылған күй дұрыс өзгерістің бұзылған болып көрінуінің ең жиі себебі.

Дизайнды бір жеке ресурс пен бір жалпыға ортақ меже мақсатқа сай әрекет еткенде ғана қабылдаңыз, аты және мекенжайы бойынша, шын мәнінде қолдайтын мекенжай отбасыларында. Аутентификация жасайтын туннель дұрыс бөлетін туннельмен бірдей емес.

Маршруттар тізімін негіздеменің қасына runbook-қа жазыңыз, келесі адам әдейі жасалған алып тастауды ұмытылғаннан ажырата алуы үшін.