EC2 неге сіздің AWS Client VPN ноутбугіңізге жете алмайды
Client VPN IPv4 клиент көздерін соңғы нүктенің интерфейсіне аударады. Сондықтан жауап жұмыс істейді, ал EC2-ден жаңа қосылым істемейді.
AWS Client VPN арқылы қосылған ноутбук EC2 қолданбасына еш қиындықсыз жетеді. Содан кейін керісінше байқап көресіз, EC2-ден клиентке берілген мекенжайға, және қосылым ілініп қалады немесе қабылданбайды. Бұл асимметрия сирек қауіпсіздік тобының жетіспейтін ережесі болады. VPC ішкі желілерімен байланысқан Client VPN соңғы нүктесінде AWS IPv4 клиент көздерін соңғы нүктенің желілік интерфейсіне аударады, сондықтан ноутбугіңізді білдіретін кіріс VPC мекенжайы жоқ.
Түсірілім көрсететіннен бастаңыз
Клиент қосылып жатқанда EC2 хостында түсірілім жасап, қолданба шынымен көретін бастапқы мекенжайды оқыңыз. Егер ол клиент пулынан мекенжай емес, VPC жағындағы соңғы нүктенің интерфейсі болса, бір ережені де өзгертпей тұрып аудару расталады.
Клиент пулы – бөлу диапазоны, қайтару маршруты бар ішкі желі емес. Осы айырмашылықта мұндай зерттеулердің көбісі қателеседі.
Асимметрияны түсіндіретін аудару
Үш ағынды бір-бірімен шатастырады, және олардың тек біреуі ғана адамдар тексеретін ағын.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Client VPN компоненттерінің сипаттамасы IPv4 клиент көздері соңғы нүктенің интерфейсіне аударылатынын анық айтады, бұл ортаңғы жолдың неге сәйкестендіретін ештеңесі жоқ екенін көруге жетеді.
Жаңа қосылымға маршрут, мекенжайды шешу қадамы және рұқсат шешімі қажет. Басқа біреудің сессиясындағы аудару күйі осы үшеуінің ешқайсысын бермейді.
Неге жауап жаңа қосылым емес
TCP жауабы қолданыстағы жазбамен сәйкестендіріледі, сондықтан қайтару жолы кіріс ережесіз-ақ жұмыс істейді. EC2 хосттан келген жаңа SYN-ға сәйкестендіретін жазба жоқ, сондықтан ол VPC қалай жетуге болатынын білмейтін межелі орынға қарай қарапайым шығыс әрекетіне айналады.
Сол себепті мұны тек бір бағытта жүретін трафик деп сипаттау жаңылыстырады. Бұл сессияларда қайтару трафигі үздіксіз ағады. Жолы жоқ бөлігі – бастау.
Не әлі де жұмыс істеуі тиіс сессияны бұзады
Қауіпсіздік топтары, желілік ACL-дер және ноутбуктің өз firewall-ы – сәтті болуы тиіс қосылымдар үшін бәрі маңызды. Сәтсіз ping ең аз айтады, өйткені ICMP саясаты сізді қызықтыратын TCP саясатынан жиі бөлек.
Бұл ережелерді аударылған көзге қарай жазыңыз, клиент мекенжайына қарай емес. Желіде ешқашан көрінбейтін мекенжайға байланған ережелер – бұл дизайндағы ең көп кездесетін өзі келтірген ақау.
VPC шынымен әңгімені бастауға тиіс болғанда
Егер қызмет жұмыс станциясына хабарлауы керек болса, бағытты кері айналдырып, клиентке қызмет жауап беретін тұрақты шығыс арнасын ұстауға мүмкіндік беріңіз. Егер бүкіл қашықтағы желі VPC-ден қолжетімді болуы керек болса, Client VPN мұны әлдеқашан жасайды деп болжаудың орнына өз префикстері мен қатынау саясатын жариялайтын архитектураны таңдаңыз. Клиенттен клиентке қатынау – өз маршруты мен рұқсат нысандары бар үшінші, тарырақ жағдай. Бұлардың ешқайсысы қолданыстағы соңғы нүктедегі жай құсбелгі емес.
IPv4 түсіндірмесінің ауқымын да адал ұстаңыз. Қазіргі AWS құжаттамасы IPv6-ны, онда бұл аудару қолданылмайтынын, және басқаша маршруттайтын басқа қосылу модельдерін бөледі.
Үш таңбаланған қадамда сынаңыз: клиент рұқсат етілген сессия ашады, VPC қызметі сол сессияға жауап береді, және VPC хосты клиентке қарай жаңа сессия ашады. Алғашқы екеуінің сәтті болып, үшіншісінің сәтсіз болуы – бұл дизайнның күтілетін нысаны, firewall ережелерімен қуалайтын ақау емес.