ಒಂದು AWS Client VPN ಸೆಷನ್‌ನ ಹಿಂದೆ ಇರುವ LAN: ಏನು ಮುಂದಕ್ಕೆ ರವಾನೆಯಾಗುತ್ತದೆ

ಲ್ಯಾಪ್‌ಟಾಪ್ AWS Client VPN ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗೆ ಸಂಪರ್ಕಿಸುತ್ತದೆ, ಖಾಸಗಿ ಉಪಜಾಲಕ್ಕೆ ತಲುಪುತ್ತದೆ, ಮತ್ತು ಎಲ್ಲವೂ ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣುತ್ತದೆ. ಅದೇ LAN ನಲ್ಲಿರುವ ಡೆಸ್ಕ್‌ಟಾಪ್ ಯಾವುದನ್ನೂ ತಲುಪುವುದಿಲ್ಲ, ಆದರೂ Linux ಹೋಸ್ಟ್‌ಗೂ ಸೇತುವೆ ಇಂಟರ್ಫೇಸ್ ಇದೆ ಮತ್ತು ಎರಡೂ ಯಂತ್ರಗಳು ಒಂದೇ ತಂತಿಯಲ್ಲಿವೆ. ಟನೆಲ್‌ನಲ್ಲಿ ಏನೂ ತಪ್ಪಾಗಿ ಸಂರಚಿಸಿಲ್ಲ; ಕಾಣೆಯಾದ ಭಾಗ ರೂಟಿಂಗ್, ಮತ್ತು ಸೇತುವೆ ತಪ್ಪು ಸುಳಿವು.

Client VPN ಸೆಷನ್ ಅನ್ನು LAN ಗೆ ವಿಸ್ತರಿಸುವುದು ಗೇಟ್‌ವೇ ಪಾತ್ರ. ಇದು ನಿರ್ವಹಿತ ಸೇವೆಗೆ ಎಳೆದ Ethernet ವಿಭಾಗವಲ್ಲ.

ಹೋಸ್ಟ್ ಕೆಲಸ ಮಾಡುತ್ತದೆ, LAN ಮಾಡುವುದಿಲ್ಲ

Linux ಯಂತ್ರದ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್‌ಗೆ Client VPN ಕ್ಲೈಂಟ್ CIDR ಒಳಗೆ ವಿಳಾಸವಿದೆ, ಮತ್ತು ಎಂಡ್‌ಪಾಯಿಂಟ್ VPC ಶ್ರೇಣಿಗಳಿಗೆ ರೂಟ್‌ಗಳನ್ನು ತಳ್ಳಿದೆ. ಆ ಯಂತ್ರದಲ್ಲಿ ಮಾಡಿದ ವಿನಂತಿ ಸ್ಥಳೀಯವಾಗಿ ಉತ್ಪಾದಿಸಿದ ಸಂಚಾರ: ಅದು ರೂಟ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಟನೆಲ್ ಮೂಲಕ ಹೊರಡುತ್ತದೆ ಮತ್ತು ಉತ್ತರ ಪಡೆಯುತ್ತದೆ. ಆ ಮಾರ್ಗ ಎಂದಿಗೂ ಫಾರ್ವರ್ಡಿಂಗ್ ಕೋಡ್, LAN ಇಂಟರ್ಫೇಸ್ ಅಥವಾ ಸಾಗಣೆಯನ್ನು ನಿಯಂತ್ರಿಸುವ ಯಾವುದೇ ಫೈರ್‌ವಾಲ್ ನಿಯಮವನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ.

ಇನ್ನೊಂದು LAN ಸಾಧನದಿಂದ ಬರುವ ಸಂಚಾರ ಬೇರೆ ಹರಿವು. ಅದು LAN ಇಂಟರ್ಫೇಸ್‌ಗೆ ಬರುತ್ತದೆ, ಟನೆಲ್‌ಗೆ ತೋರಿಸುವ ರೂಟ್ ಬೇಕು, ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿರಬೇಕು, ಅದನ್ನು ಅನುಮತಿಸುವ ಫೈರ್‌ವಾಲ್ ಬೇಕು, ಮತ್ತು ಉತ್ತರ ಅದೇ ಹೋಸ್ಟ್ ಮೂಲಕ ಹಿಂತಿರುಗಬೇಕು. ನಾಲ್ಕು ಷರತ್ತುಗಳು, ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಲ್ಯಾಪ್‌ಟಾಪ್ ಪರೀಕ್ಷೆ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಡೆಸ್ಕ್‌ಟಾಪ್‌ನಿಂದ ವೈಫಲ್ಯ ವಿಚಿತ್ರವಾಗಿ ಕಾಣುತ್ತದೆ: ಟನೆಲ್ ಆನ್ ಆಗಿದೆ, ರುಜುವಾತುಗಳು ಮಾನ್ಯವಾಗಿವೆ, ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ಎಂದಿಗೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ. ದೋಷ ಗೇಟ್‌ವೇಯ ಫಾರ್ವರ್ಡಿಂಗ್ ಮಾರ್ಗದಲ್ಲಿ ಸ್ಥಳೀಯವಾಗಿದೆ, ಸೇವೆಯಲ್ಲಿ ಅಲ್ಲ.

ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಗೇಟ್‌ವೇ ಆಗಲು ಸಾಧ್ಯವಿಲ್ಲ

AWS ತನ್ನ Client VPN ಡೆಸ್ಕ್‌ಟಾಪ್ ಅಪ್ಲಿಕೇಶನ್ IP ಫಾರ್ವರ್ಡಿಂಗ್ ಬೆಂಬಲಿಸುವುದಿಲ್ಲ ಎಂದೂ, ಇತರ ಕ್ಲೈಂಟ್‌ಗಳು ಬೆಂಬಲಿಸಬಹುದು ಎಂದೂ ಹೇಳುತ್ತದೆ. ಆ ನಿರ್ಬಂಧ ಯಾವುದೇ ಆದೇಶ ಟೈಪ್ ಆಗುವ ಮೊದಲೇ ವಾಸ್ತುಶಿಲ್ಪವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಲಭ್ಯವಿರುವ ಏಕೈಕ ಕ್ಲೈಂಟ್ ಅಧಿಕೃತ ಡೆಸ್ಕ್‌ಟಾಪ್ ಅಪ್ಲಿಕೇಶನ್ ಆಗಿದ್ದರೆ, LAN ಗೆ ಫಾರ್ವರ್ಡ್ ಮಾಡುವ Linux ಗೇಟ್‌ವೇ ನೀವು ಪೂರ್ಣಗೊಳಿಸಬಹುದಾದ ಸಂರಚನೆಯಲ್ಲ, ಮತ್ತು ಎಷ್ಟೇ masquerading ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಬದಲಿ ಕ್ಲೈಂಟ್ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ದೃಢೀಕರಣ ವಿಧಾನ ಮತ್ತು ನೀವು ಜಾರಿಗೊಳಿಸಲು ಉದ್ದೇಶಿಸಿರುವ ನೀತಿಗೂ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ಪ್ರಮಾಣಪತ್ರ-ಆಧಾರಿತ, ಡೈರೆಕ್ಟರಿ-ಆಧಾರಿತ ಮತ್ತು SAML-ಆಧಾರಿತ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗಳು ಒಂದೇ ಕ್ಲೈಂಟ್ ಸಂರಚನೆಗಳನ್ನು ಸ್ವೀಕರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ದೃಢೀಕರಿಸುತ್ತದೆ ಆದರೆ ತಳ್ಳಿದ ರೂಟ್‌ಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುವ ತೃತೀಯ-ಪಕ್ಷದ ಕ್ಲೈಂಟ್ ಸುಧಾರಣೆಯಲ್ಲ.

ಕ್ಲೈಂಟ್ ಆಯ್ಕೆಯನ್ನು ವಿನ್ಯಾಸ ಪರಿಶೀಲನೆಯ ಭಾಗವಾಗಿ ಪರಿಗಣಿಸಿ. LAN ಫಾರ್ವರ್ಡಿಂಗ್ ಮಾದರಿ ಒಟ್ಟಾರೆಯಾಗಿ ಲಭ್ಯವಿದೆಯೇ ಎಂದು ಅದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಗೇಟ್‌ವೇ ಹಿಂದಿನ ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಯಾವ ಗುರುತನ್ನು ನೋಡುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಮತ್ತು ಅದನ್ನು ಪರೀಕ್ಷಿಸಿದ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಸಂರಚನೆಯನ್ನು ದಾಖಲಿಸಿ. ಆರು ತಿಂಗಳ ನಂತರ ಕ್ಲೈಂಟ್ ಬದಲಾವಣೆ ವಿನ್ಯಾಸ ಊಹಿಸಿದ ಸಾಮರ್ಥ್ಯವನ್ನು ಸದ್ದಿಲ್ಲದೆ ತೆಗೆದುಹಾಕಬಹುದು.

LAN ಅನ್ನು ಟನೆಲ್‌ಗೆ ತಿರುಗಿಸಿ ಮತ್ತು ಅನುವಾದಿಸಿ

ಬೆಂಬಲಿತ ಕ್ಲೈಂಟ್ ಇದ್ದರೆ ಉಳಿದದ್ದು ಸಾಮಾನ್ಯ ಗೇಟ್‌ವೇ ಕೆಲಸ. LAN ಸಾಧನಗಳಿಗೆ VPC ಶ್ರೇಣಿಗೆ Linux ಹೋಸ್ಟ್‌ನತ್ತ ತೋರಿಸುವ ರೂಟ್ ಬೇಕು, ಮತ್ತು ಹೋಸ್ಟ್‌ಗೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿರಬೇಕು. VPC ಸಂಚಾರವನ್ನು ಯಾವುದೋ LAN ವಿಳಾಸವಾಗಿ ಅಲ್ಲ, ಸಂಪರ್ಕಿತ ಕ್ಲೈಂಟ್ ಆಗಿ ನೋಡಬೇಕೆಂದರೆ, ಹೊರಹೋಗುವಾಗ ಮೂಲವನ್ನು ಅನುವಾದಿಸಿ.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

ನಿಯಮವನ್ನು ಮೇಲಿನಂತೆ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು VPC ಶ್ರೇಣಿಗೆ ಸೀಮಿತಗೊಳಿಸಿ, ಹೋಸ್ಟ್ ಫಾರ್ವರ್ಡ್ ಮಾಡುವ ಎಲ್ಲವನ್ನೂ masquerade ಮಾಡುವ ಬದಲು. ಸಣ್ಣ ನಿಯಮದ ಬಗ್ಗೆ ಯೋಚಿಸುವುದು ಸುಲಭ, ಮತ್ತು ಅದು ತನ್ನ ಮೂಲ ಮೂಲ ವಿಳಾಸವನ್ನು ಉಳಿಸಿಕೊಳ್ಳಬೇಕಿದ್ದ ಸಂಚಾರವನ್ನು ಸದ್ದಿಲ್ಲದೆ ಬದಲಿಸುವುದಿಲ್ಲ.

ಸಾಧ್ಯವಾದರೆ LAN ರೂಟ್ ತಾನಾಗಿಯೇ ಬರಲಿ: DHCP ಆಯ್ಕೆ, ರೌಟರ್ ಘೋಷಣೆ, ಅಥವಾ LAN ನಿರ್ವಹಿಸುವುದು ತಳ್ಳುವ ಸ್ಥಿರ ರೂಟ್. ಒಂದೇ ಪರೀಕ್ಷಾ ಯಂತ್ರದಲ್ಲಿ ಮಾತ್ರ ಇರುವ ರೂಟ್, ಬೇರೆಯವರು ಪ್ರಯತ್ನಿಸಿದ ಕ್ಷಣ ವಿನ್ಯಾಸವನ್ನು ಮುರಿದಂತೆ ತೋರಿಸುತ್ತದೆ.

ಉತ್ತರಕ್ಕೂ ಮಾರ್ಗ ಬೇಕು

ವಿನಂತಿ VPC ತಲುಪಿದ ನಂತರ, ಉತ್ತರ ಅದೇ ಅನುವಾದ ಸ್ಥಿತಿಗಳ ಮೂಲಕ ಹಿಂತಿರುಗಿ ಗೇಟ್‌ವೇಯಲ್ಲಿ LAN ರೂಟ್ ಕಂಡುಕೊಳ್ಳಬೇಕು. ಆ ಭಾಗ ಸಾಮಾನ್ಯವಾಗಿ masquerade ನಿಯಮ ಇದ್ದಾಗ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಏಕೆಂದರೆ ಮ್ಯಾಪಿಂಗ್ ಅದನ್ನು ಮಾಡಿದ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ವಾಸಿಸುತ್ತದೆ. VPC ಬದಿಯಲ್ಲಿ ಉತ್ತರವನ್ನು ಬೇರೆಡೆಗೆ ಕಳುಹಿಸುವ ರೂಟ್ ಇದ್ದಾಗ ಅದು ಮುರಿಯುತ್ತದೆ, ಆದ್ದರಿಂದಲೇ ಕ್ಲೈಂಟ್ CIDR ರೂಟ್ ಮತ್ತು ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನಲ್ಲಿನ ಉಪಜಾಲ ಸಂಯೋಜನೆ ಎರಡೂ ಮುಖ್ಯ.

ping ಮಾತ್ರವಲ್ಲ, ಕೌಂಟರ್‌ಗಳನ್ನು ನೋಡಿ. ಶೂನ್ಯ ಪ್ಯಾಕೆಟ್‌ಗಳ masquerade ನಿಯಮ ವಿನಂತಿ ಎಂದಿಗೂ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ತಲುಪಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ, ಅದು LAN ರೂಟ್ ಅಥವಾ ಕ್ಲೈಂಟ್‌ನ ಸ್ವಂತ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕದತ್ತ ತೋರಿಸುತ್ತದೆ. ಪ್ಯಾಕೆಟ್‌ಗಳಿದ್ದರೂ ಉತ್ತರಗಳಿಲ್ಲದ ನಿಯಮ VPC ಬದಿ, ಅನುಮತಿ ನಿಯಮಗಳು, ಅಥವಾ ಅನುವಾದಿತ ಮೂಲವನ್ನು ಸ್ವೀಕರಿಸದ ಭದ್ರತಾ ಗುಂಪಿನತ್ತ ತೋರಿಸುತ್ತದೆ. ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಒಂದೇ ಬದಿಯಲ್ಲಿ ಬೆಳೆಯುವ ಎಣಿಕೆ ನಿಧಾನ ಮಾರ್ಗವಲ್ಲ, ಏಕಮುಖ ಮಾರ್ಗ.

ಎಂಡ್‌ಪಾಯಿಂಟ್ ನಿರ್ವಹಿತ ಸೇವೆ ಎಂದು ನೆನಪಿಡಿ. ಸಂಪಾದಿಸಲು ಸರ್ವರ್ ಸಂರಚನಾ ಕಡತವಿಲ್ಲ ಮತ್ತು ಸೇರಿಸಲು client-config ಸೂಚನೆಯಿಲ್ಲ, ಆದ್ದರಿಂದ ಕಸ್ಟಮ್ ಕ್ಲೈಂಟ್ ಉಪಜಾಲ ರೂಟ್‌ಗಳಿರುವ ಸ್ವಯಂ-ನಿರ್ವಹಿತ OpenVPN ಸರ್ವರ್‌ಗಾಗಿ ಬರೆದ ಸೂಚನೆಗಳು ವರ್ಗಾವಣೆಯಾಗುವುದಿಲ್ಲ. AWS ನಲ್ಲಿ ಲಿವರ್‌ಗಳು ಉಪಜಾಲ ಸಂಯೋಜನೆ, ಅನುಮತಿ ನಿಯಮಗಳು ಮತ್ತು VPC ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಗಳು.

ಹಂಚಿದ ಗುರುತು ಎಂಬುದು ನೀತಿ ಉತ್ತರಿಸಬೇಕಾದ ಭಾಗ

ಗೇಟ್‌ವೇ ಹಿಂದಿನ ಪ್ರತಿ ಸಾಧನವೂ ಗೇಟ್‌ವೇಯ VPN ಸೆಷನ್ ಬಳಸುತ್ತದೆ. ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಅನುಮತಿ ನಿಯಮಗಳು ಬಳಕೆದಾರರಿಗೆ ಅಥವಾ ಗುಂಪಿಗೆ ಪ್ರವೇಶ ನೀಡುತ್ತವೆ, ಮತ್ತು ಸೇವೆಯ ದೃಷ್ಟಿಯಿಂದ ಆ ಸೆಷನ್‌ನಲ್ಲಿ ನಿಖರವಾಗಿ ಒಬ್ಬ ಬಳಕೆದಾರನಿದ್ದಾನೆ. ಸ್ಥಳೀಯ ಫಾರ್ವರ್ಡಿಂಗ್ ಆ ಗುರುತನ್ನು ಪ್ರತಿ-ಸಾಧನ ದೃಢೀಕರಣಕ್ಕೆ ಗುಣಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಮೂಲೆಯಲ್ಲಿರುವ ಮುದ್ರಕದವರೆಗೆ ಸಾಧನ ಸ್ಥಿತಿ ಪರಿಶೀಲನೆಗಳನ್ನು ವಿಸ್ತರಿಸುವುದಿಲ್ಲ.

ಅದು ಸ್ವೀಕಾರಾರ್ಹವಾಗಿರಬಹುದು, ಅಥವಾ ವಿನ್ಯಾಸ ತಿರಸ್ಕೃತವಾಗಲು ಅದೇ ಕಾರಣವಾಗಿರಬಹುದು. VPC ಸಂಪನ್ಮೂಲಗಳು ಯಾರು ಕರೆ ಮಾಡುತ್ತಿದ್ದಾರೆ ಎಂಬುದರ ಬಗ್ಗೆ ಏನು ಊಹಿಸುತ್ತವೆ ಎಂಬುದರ ಮೇಲೆ ಅದು ಅವಲಂಬಿತವಾಗಿದೆ. ಅನುಮತಿ ಮಾದರಿಗೆ ಹೊಂದುವ ಹಂಚಿದ ಗುರುತು ಸರಿ; ಒಂದು ದೃಢೀಕೃತ ಸೆಷನ್ ಅನ್ನು ಸದ್ದಿಲ್ಲದೆ ಇಡೀ LAN ಪ್ರವೇಶವಾಗಿ ಬದಲಿಸುವುದು ಬರೆಯಲು ಕಾಯುತ್ತಿರುವ ಸಂಶೋಧನೆ.

ಅಗತ್ಯವು ನಿಜವಾಗಿಯೂ ಇಡೀ ತಾಣವನ್ನು VPC ಗೆ ಸಂಪರ್ಕಿಸುವುದಾದರೆ, ರಿಮೋಟ್-ಪ್ರವೇಶ ಕ್ಲೈಂಟ್ ವಿಸ್ತರಿಸುವ ಮೊದಲು ಬೆಂಬಲಿತ ತಾಣ-ತಾಣ ವಿನ್ಯಾಸವನ್ನು ಹೋಲಿಸಿ. ಅರ್ಥಶಾಸ್ತ್ರ ಭಿನ್ನ, ಮತ್ತು VPC LAN ಗೆ ಸಂಪರ್ಕಗಳನ್ನು ಪ್ರಾರಂಭಿಸಬೇಕಾದಾಗ NAT ಮಾಡಿದ ಕ್ಲೈಂಟ್ ಸೆಷನ್ ತಾಣ ಕೊಂಡಿಗೆ ಕಳಪೆ ಪರ್ಯಾಯ.

ಕ್ಲೈಂಟ್, ರೂಟ್, ಅನುವಾದ ಮತ್ತು ಗುರುತಿನ ಕಥೆಯನ್ನು ಆ ಕ್ರಮದಲ್ಲಿ ನಿರ್ಧರಿಸಿ. ಪ್ರತಿಯೊಂದೂ ಮುಂದಿನದನ್ನು ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಕ್ರಮವು ಹೋಸ್ಟ್ ಏಕೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ, LAN ಏಕೆ ಮಾಡುವುದಿಲ್ಲ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತದೆ.