EC2 Elastic IP — инстанстың жеке VPN мекенжайы емес

Инстанстың жеке мекенжайы бар, Elastic IP соған байланыстырылған, және сол жария /32 үшін маршрут VPN-ге қосылады, екеуі бір нәрсе болады деген үмітпен. Болмайды. Elastic IP — қонақтың сыртында, интернет шлюзі арқылы, интернет жолымен жүретін трафикте орындалатын аударма. Қонақтың операциялық жүйесі бұл мекенжайды ешқашан интерфейсте конфигурацияланған күйде көрмейді. Оны туннель интерфейсіне қосу жоғарғы аударманы қайталамайды және сол машина үшін екінші, қайшылықты сәйкестік жасайды.

Екі мекенжай, бір инстанс

Инстанстың желілік интерфейсі VPC ішінде жеке мекенжайды ұстайды, және бұл қонақ білетін мекенжай. Elastic IP сол интерфейске байланыстырылған, бірақ картаның жария жағында тұрады.

Интернет арқылы инстансқа жеткеннің бәрі жеке мекенжайға аударылып келеді. Инстанс интернетке жіберетіннің бәрі Elastic IP-ді бастау көзі ретінде алып шығады, тағы сол аударманың салдарынан.

Қонақтың ішінде бір мекенжай бар. Сыртында екі. Осы асимметрия осы саладағы шатасудың көбін түсіндіреді. Қонақ шлюздің нені аударатынын конфигурациялай алмайды. Ол тек өзінде шынымен бар мекенжайға жауап бере алады.

Интернет шлюзі шын мәнінде не істейді

AWS-тің интернет шлюзі туралы құжаттамасы бұл орналасуды сипаттайды: инстанс өзінің жеке IPv4 мекенжайын біледі, ал шлюз интернет жолындағы трафикке сәйкес жария IPv4 немесе Elastic IP аудармасын ұсынады.

Бұл желілік мекенжайларды аудару, бүркеншік ат емес. Картаны шлюз ұстайды, ол байланысуға тіркелген және тек одан өтетін пакеттерге қолданылады. Байланысты алып тастаңыз, жария сәйкестік қонақ ештеңе байқамай жоғалады.

Сондықтан жария /32-ге адрестелген жеке VPN пакеті қонақтың жергілікті мекенжайына баратын жеке пакет ретінде қайта түсіндірілмейді. Пакет өзіне сәйкес келетін маршрутты ұстанады, ол оны интернет шлюзіне жібереді, ал шлюздің әрекеті жолдың екі бағытта да рұқсат етілгеніне байланысты.

Туннель интерфейсінің тәсілі неге сәтсіз

Elastic IP-ді туннель интерфейсіне тағайындау қонақтан жария мекенжайды жергілікті деп қарауды талап етеді. Енді екі нәрсе бір мекенжайға таласады: интернет жолындағы шлюздің аудармасы және туннель ішіндегі жергілікті интерфейс. Қайтатын трафиктің қайсысы қолданылатыны туралы дәйекті жауабы жоқ.

Жұмыс істеп тұрғандай көрінсе де, дизайн шынайы сұрақты жасырған. Клиенттер не туннель арқылы жеке мекенжайға, не интернет арқылы жария соңғы нүктеге жетеді, ал екі жолдың қауіпсіздік топтары, журналдау және ақаулық режимдері әртүрлі.

Мекенжай ешқашан мәселе болған емес. Жолды таңдау мәселе болды.

Үш мақсат, үш дизайн

Мақсат жария VPN соңғы нүктесі болса, Elastic IP дұрыс құрал: қашықтағы әріптестер оған интернет арқылы қосылады және шифрланған тасымал инстанста аяқталады. Ішкі қолданба трафигі содан кейін жеке мекенжайды пайдаланады.

Мақсат қолданбаға жеке қатынау болса, барар жер жеке мекенжай немесе оған шешілетін жеке DNS атауы, ал VPN маршруты, қауіпсіздік тобы және қайтару жолы бәрі келісуі керек. Elastic IP бұл дизайнда мүлде көрінбейді.

Мақсат VPN пайдаланушылары үшін тұрақты жария шығу сәйкестігі болса, бұл шығу жағындағы NAT дизайны, клиенттің туннеліндегі мекенжай емес. Ұқсас естілетін үш мақсат үш түрлі диаграмма береді және олардың тек біреуі Elastic IP-ді жаңа жерге қоюды қамтиды.

Таңдаған жолыңызды тексеріңіз

Жеке қатынау үшін VPN маршруты жеке префиксті қамтитынын, VPC маршруттар кестесі трафикті туннельге қайтаратынын, қауіпсіздік тобы клиент көзін рұқсат ететінін және клиенттің өз firewall-ы жауапты рұқсат ететінін растаңыз. Содан кейін ping орнына бір нақты сұранысты сынап көріңіз.

Жария қатынау үшін клиенттің интернет шығуын, жария кірудің маршрутталуын және оның қауіпсіздік саясатын растаңыз. VPN клиентінің туннель арқылы жария соңғы нүктеге жете алуы туннельдің шығу және firewall ережелеріне байланысты, Elastic IP байланысына емес.

Егер жария хост атауы екі жақтан да жұмыс істеуі керек болса, VPN клиенттеріне жеке мекенжаймен, қалғандарының бәріне жария мекенжаймен жауап беретін DNS дизайнын пайдаланыңыз және сертификатты мекенжайға емес, атауға жарамды ұстаңыз. Жұмыс тәртібі: мақсатты атаңыз, оған жататын мекенжайды таңдаңыз, содан кейін маршруттарды, саясатты және бір сұранысты тексеріңіз.