EC2 қолжетімділік аймақтарында: VPN алдында маршруттауды тексеріңіз

Екі EC2 данасының арасында VPN бағдарламалық жасақтамасын орнатпас бұрын бір сұраққа жауап беріңіз: олар бір VPC ішінде ме? Егер солай болса, жеке жол қазірдің өзінде бар және аймақтар арасында орналастыру мұны өзгертпейді. Бұл жағдайда жұмыстың көп бөлігі әр ішкі желі шын мәнінде қай маршруттау кестесін пайдаланатынын растау, содан кейін істен шығу тіпті маршруттау мәселесі болды ма, соны анықтау. Туннель осы нақты сұраққа әдетте қате жауап болып табылады.

Тексеру 1: бір VPC пе әлде басқа VPC-лер ме

VPC аймақтық болып табылады және қолжетімділік аймақтарын қамтиды, ал әр ішкі желі дәл бір аймаққа жатады. Бір VPC-нің түрлі аймақтарындағы екі дана сол жеке маршруттау доменінің ішінде қалады.

Басқа VPC-лер ешқашан жеке маршрутты тек аймақты немесе аймақ белгісін бөліскені үшін алмайды. Мұндай жағдай қолдау көрсетілетін қосылымды және маршруттар мен рұқсаттар бойынша жеке жұмысты қажет етеді, бұл бөлек шешім.

Тексеру 2: ішкі желілердің маршруттау кестелері не дейді

Орналасуды нақты мәндермен жазыңыз. Мекенжайы 10.60.0.0/16 VPC, ішкі желілері 10.60.1.0/24 және 10.60.2.0/24 болса, даналарға 10.60.1.10 және 10.60.2.20 VPC-нің жергілікті маршруты арқылы жол береді.

Содан кейін тек бірінші тапқан кестені емес, екі ішкі желіге де байланысты кестелерді қарап шығыңыз. Нәзігірек тексеру немесе құрылғы маршруты негізгі маршрутты алмастыруы мүмкін, ал жергілікті маршруттың мақсаты жаңарақ конфигурацияларда өзі ауыстырылуы мүмкін. Консольде бір жерде көрінетін жергілікті маршрут екі жұмыс жүктемесінің де оны пайдаланатынын дәлелдемейді.

VPC шын мәнінде беретін жеке мекенжайлар мен атауларды пайдаланыңыз. Жеке мекенжай 10-нан басталуы міндетті емес, ал оны жадтан ойлап табу жұмыс істеп тұрған ортаға қате диагноз қоюдың жолы.

Тексеру 3: маршруттау ма әлде авторландыру ма

Маршруттау пакетті тек мақсаттың желілік интерфейсіне жеткізеді. Мақсаттың қауіпсіздік тобы әлі де көзді мен қызметті қабылдауы керек, көздің шығыс ережелері сұранысқа рұқсат беруі керек, ал кез келген желілік ACL екі бағытқа да рұқсат беруі керек, өйткені ACL күйді сақтамайды.

Оның артында қонақтың файрволы, тыңдаушының байланысуы және қолданбаның өз сәйкестігі тұр. Олардың әрқайсысы маршруттау мінсіз жеткізген сұранысты қабылдамауы мүмкін.

Қабылдау қолданбаның шынайы операциясы болуы керек. Сәтті ping қолданбаға қатынас бермейді және TLS атауы мен тіркелгі деректерінің дұрыстығын дәлелдемейді, ал бұғатталған ping барлық жеке қызметтің тоқтағанын дәлелдемейді.

Тексеру 4: шынымен жеке қосылым қажет пе

VPN жобада қалуы мүмкін, бірақ айтылған себеппен: осы VPC-ні кеңсемен қосу, ноутбуктерді жіберу немесе қабаттасқан желі талабын орындау. Бұл себеп бір VPC ішіндегі әдеттегі байланыстан өзгеше.

VPC ненің емес екенін де есте сақтаңыз. Ол үйдегі Ethernet сегментінің кеңейтілімі емес. Тарату арқылы табуға тәуелді қолданбаның бағалауды қажет ететін бөлек талабы бар. Бұл маршруттау қатесі емес, жобадағы олқылық.

Тексеру 5: шифрлау мәселесі

Жеке мекенжай мен рұқсат ережесі қолданба деңгейіндегі криптографиялық қорғаныс туралы ештеңе айтпайды. Егер деректерге шетінен шетіне қорғаныс қажет болса, ол қызмет шын мәнінде қолдайтын хаттама мен сәйкестік моделінен келеді.

Жоба жазбасында желілік және қолданбалық деңгейлер туралы тұжырымдарды бөлек ұстаңыз, өйткені оларды біріктіру шолудың ешкім енгізбеген қорғанысты тұжырымдауына әкеледі.

Нені жазу керек

Екі ішкі желі идентификаторын, әрқайсысына байланысты маршруттау кестесін, қауіпсіздік топтарының сілтемелерін және сіз сынаған қолданба операциясын жазып қойыңыз. Бұл төрт факт және олар осы жол туралы болашақ даулардың көбін шешеді.

Тек аймаққа орналастыру сізге ешқашан VPN қосу керектігін айтпайды және жеке сұраныстың неліктен сәтсіз болғанын ешқашан түсіндірмейді.