AWS-тің NAT шлюзі VPN жаққа қандай бастапқы IP қолданады?

Жалпыға қолжетімді NAT шлюзінің Elastic IP — бұл интернеттегі сәйкестік, VPN серіктесі көретін нәрсе емес. Нақты көзді табу үшін қосалқы желіден шлюзге дейінгі маршрутты қадағалаңыз.

Сіз VPC консолін ашасыз, өйткені серіктес сайттан сайтқа VPN арқылы қандай көз диапазоны келетінін сұрады. NAT шлюздері беті Elastic IP тіркелген жалпыға қолжетімді шлюзді көрсетеді, және азғыру сол мекенжайды жіберіп, әрі қарай жүру. Бұл интернет жолы үшін дұрыс жауап және VPN жолы үшін қате жауап, ал айырмашылық маршрут кестесі қай шлюзді нұсқайтынында. Рұқсат тізімін жазбас бұрын маршрутты аралап шығыңыз.

Рұқсат тізімінен емес, NAT шлюздері бетінен бастаңыз

NAT шлюздері беті сізге қосалқы желіні, түрін және Elastic IP-ні айтады, және осы үш өріс бастауға жеткілікті. Ол айтпайтыны — трафиктің одан кейін жүретін жолы. Бұл NAT шлюзінің қосалқы желісіне тіркелген маршрут кестелерінен шығады.

Алдымен түрін оқыңыз, өйткені жалпыға қолжетімді немесе жеке болуы тізбекте кейінірек интернет шлюзінің пайда болатынын шешеді. Содан кейін қосалқы желіні оқыңыз, өйткені екінші маршрут сонда тұрады.

Екі түрлендіруді қадағалаңыз

Жалпыға қолжетімді де, жеке де NAT шлюздері жұмыс жүктемесінің жеке IPv4 көзін NAT шлюзінің өзінің жеке IPv4 мекенжайына түрлендіреді. Бұл бірінші түрлендіру түрге қарамастан болады. Екінші түрлендіру — адамдар ұмытатыны: жалпыға қолжетімді NAT шлюзі трафикті интернет шлюзіне береді, ол мекенжайды тіркелген Elastic IP-ге бейнелейді.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Жеке жолда тізбекте интернет шлюзі жоқ. Трафик транзиттік шлюз немесе виртуалды жеке шлюз арқылы шыққанда, NAT шлюздері нұсқаулығы NAT шлюзінің жеке мекенжайын алыс жақ алатын көз ретінде құжаттайды. Серіктес рұқсат етуі керек мекенжай — осы, Elastic IP емес.

VPN жолы әдетте жеке мекенжайды көрсетеді

10.20.1.0/24 ішіндегі жұмыс жүктемесі серіктестің префиксіне жеткенде, жұмыс жүктемесі қосалқы желісінің маршрут кестесі NAT шлюзіне, ал NAT шлюзі қосалқы желісінің маршрут кестесі жеке шлюз жолына нұсқайды. Екі секіріс те маңызды, және серіктес не көретінін тек екіншісі шешеді. Егер NAT қосалқы желісінде VPN жолына маршрут болмаса, пакет ешқашан жетпейді, және бұл қате бастапқы мекенжайдан өзгеше ақау.

Мекенжайлар туралы әңгіме бастамас бұрын сол екінші маршрутты тексеріңіз. Жоқ маршрут пен қате хабарланған көз трафикті жай ғана көрмей отырған серіктеске бірдей көрінеді.

Екінші түрлендіру жауапты өзгерткенде

AWS сондай-ақ транзиттік шлюз тіркемесінде айқын, сәйкес бір-бірге NAT бейнелеуін ұсынады. Бұл бейнелеу алыс қызмет көрмес бұрын көзді тағы бір рет түрлендіре алады, және бұл тек маршруттайтын әдепкі мінез емес. Оны әдейі конфигурациялау керек болғандықтан, оны кездейсоқ мұраға алатын нәрсе емес, дизайн ерекшелігі ретінде қараңыз. Егер командаңызда оны қосқанын ешкім есіне алмаса, тіркемені оқығанша оны жоқ деп есептеңіз.

Егер дизайныңыз оны пайдаланса, рұқсат тізімі NAT шлюзінің мекенжайын емес, түпкілікті бейнелеуді сипаттауы керек. Дәл сол сақтық қолжетімділік жолдарына да қатысты: бірнеше шлюз мекенжайы қатысқанда, күтілетін көз жиыны — бірігу, бір өкіл мекенжай емес. Әр мекенжайдың қай түрлендіруге жататынын жазып қойыңыз, өйткені шығу тегі жоқ тізімді кейін тексеру мүмкін емес.

Жеке NAT шлюзіне оны интернет шлюзіне бағыттау арқылы интернет қызметін беруге болмайды; AWS мұндай трафиктің тасталатынын құжаттайды. Түрді толық жолдан таңдаңыз, талаптағы VPN сөзінен емес.

Серіктесіңіз әрекет ете алатын шартты жазыңыз

Пайдалануға жарамды шарттың төрт бөлігі бар: ағындар басталатын бағыт, серіктес көретін түрлендірілген сәйкестік, сол сәйкестік үшін қайтару маршруты және қолданылатын қорғаныс ауқымы. NAT шлюзінің ағындары қолдау көрсетілетін көз жағынан басталады, сондықтан бұл жеке жұмыс жүктемесін ашу үшін кіріс порттарын бағыттау қызметі емес. Мұны ерте дауыстап айту әр жақ екіншісі бастады деп ойлаған дизайн қарауын болдырмайды.

Түрлендіру мекенжайлардың қабаттасуынан жеңілдік пен болжамды көз саясатын сатып алады, ал серіктестің журналдарында жеке жұмыс жүктемесінің сәйкестігін жоғалтасыз. Егер аудит әр жұмыс жүктемесі бойынша тиесілілікті қажет етсе, бұл сәйкестікті түрлендірілген көз мекенжайынан қалпына келтіруге тырыспай, қолданба қабатында сақтаңыз.

Содан кейін кез келген өзгерістен кейін екі маршрут кестесін де қайта тексеріңіз, өйткені жаңа тіркеме немесе қайта байланысқан қосалқы желі жауапты үнсіз қайта жазады.

Қатысты мақалалар