Дереккөз/межелікті тексеру — бір қақпа, бүкіл VPN жолы емес
Байланыстырып өткізетін инстансқа AWS рұқсаты, сондай-ақ Linux маршруттары мен брандмауэр ережелері қажет. Дереккөз/межелікті тексеруді өткізіп беретін инстанстың өзінде тексеріңіз.
VPN EC2 инстансында аяқталады, сол инстанстың туннель мекенжайына жете аласыз, ал ол арқылы басқа жеке хостқа өтуі тиіс трафик жоғалып кетеді. Бұл екі түрлі сынақ, оларды араластыру сағаттарды жоғалтады. Біріншісі инстансқа жете аласыз ба деп сұрайды; екіншісі одан өзіне тиесілі емес межелік үшін трафикті өткізуді талап етеді, бұл Linux өткізуін, брандмауэр саясатын, алыс жақтағы маршрутты және қонақ операциялық жүйесімен ешқандай қатысы жоқ AWS деңгейіндегі рұқсатты қажет етеді. Консольде ештеңе бұл айырмашылыққа назар аудармайды. Симптом маршруттау ақауына ұқсайды, әдетте олай емес.
Бірдеңені өзгертуден бұрын екі сынақты бөліңіз
Қақпаға жету туннельді, оның мекенжайына дейінгі маршрутты және айырбастауға рұқсат беретін қауіпсіздік тобын дәлелдейді. Басқа хост үшін өткізу бұлардың ешқайсысын дәлелдемейді: ол басқа дереккөз мекенжайын, басқа межелікті және міндетті түрде сол үшін құрылмаған рөлдегі инстансты пайдаланады. Екі сынақты бөлек жазып, қайсысы сәтсіз болатынын белгілеңіз, өйткені әрқайсысының түзетуі басқа консольде. Тек туннельдерді аяқтау үшін ғана құрылған қақпа инстансының басқа нәрсе үшін өткізуге ешбір себебі жоқ, және оның әдепкі параметрлері осыны көрсетеді. Сондықтан екінші сынаққа өзінің конфигурациясы қажет, біріншісіндегі шағын түзету емес.
Қақпаға жұмыс істейтін ping және оның арғы жағындағы хостқа сәтсіз болатын ping үзілісті мәселе емес. Бұл өткізуге болатыны айтылмаған инстанстың күтілетін мінез-құлқы.
Параметрге қол тигірмес бұрын жолды жазып алыңыз
Клиент префиксін, өткізуші инстансты немесе желілік интерфейсті, мақсатты қосалқы желіні және жауап маршрутын жазыңыз. VPC маршруттар кестесіндегі инстансқа сілтейтін жазба инстанстың операциялық жүйесін өткізуге баптамайды, ал өткізу қосылған қонақ ядросы VPC маршрутын жасамайды. Бұл қатынастың екі ұшы да болуы керек, және олар әртүрлі жерлерде әртүрлі рұқсаты бар адамдармен өңделеді.
Содан кейін дереккөз/межелік тексеру параметрін нақты өткізу компонентінде тексеріңіз, VPC-дегі әр инстанста емес. AWS басқалар үшін трафикті өткізетін инстансқа бұл тексерудің өшірулі болуы неге қажет екенін, сондай-ақ параметрдің неге бүкіл VPC үшін әдепкі емес, әр инстанс үшін шешім екенін құжаттайды.
Төрт шекара, және тексеру солардың тек біреуі
Жолды төрт сұрақ ретінде қарастырып, оларға ретімен жауап беріңіз. Бірінші сәтсіз жауап — жұмыстың орны, қалғандарының ешқайсысы оны өтемейді.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
Рет маңызды, өйткені тексеру арзан: маршруттар бір бетте көрінеді, тексеру бір атрибут, ал межеліктің пікірі әдетте адамдар ең соңында сұрайтын нәрсе.
Аударма межеліктің қай дереккөзді көретінін өзгертеді
Маршрутталған дизайн клиенттің дереккөз мекенжайын сақтайды, сондықтан межелікке клиент префиксіне қайтару маршруты қажет. Аударылған дизайн оның орнына қақпаның мекенжайын ұсынады, бұл сол талапты жояды және оны қақпадағы күй кестесімен алмастырады. Қалаған сәулетіңізге сәйкес шешім қабылдаңыз, байланысы жоқ мысал пайдаланып, жұмыс істегендей көрінгендіктен аударма қоспаңыз.
Егер аударсаңыз, ережені клиент префиксімен және көзделген межелікпен шектеңіз. Егер сақтасаңыз, алыс жақ маршрутты шынымен білетінін растаңыз, ол үйренеді деп болжамаңыз.
Түпнұсқа клиенттен сынаңыз, содан кейін өзгерісті сақтаңыз
Қақпада жасалған сұрау сәтті болуы мүмкін, ал өткізілген сұрау сәтсіз болады, өйткені бұл басқа дереккөз және өткізудің басқа жағдайы. Мақсатты түзетуден кейін сәтсіз болған дәл сол клиенттен-ресурсқа сынағын сол клиенттен қайталаңыз және сұраудың жеткенін ғана емес, жауаптың қайтатынын растаңыз.
Соңында параметрді қақпаның басқарылатын конфигурациясына қойыңыз, алмастырушы инстанс оны алсын. Қолмен жасалған ерекшелікке тәуелді сәтті сынақ келесі қайта құруда аяқталатын сынақ, ал оны ашқан адам неге екенін есте сақтау үшін сонда болмайды.