EC2деги Access Server толук туннели: эмне үчүн бир белги кутуча жетишсиз

EC2 инстансында булак менен багытты текшерүүнү өчүрүү - Access Serverдин интернетке чыгышы тууралуу суроолорго эң көп кайталанган жооп, жана ал өзү менен кардарларыңыз үчүн эч нерсе кылбайт. Текшерүү - AWSтин кайра жиберүү чектөөсү: ал инстанска булагы же багыты өзүнүн дареги болбогон пакеттерди кабыл алууга мүмкүндүк берет. Ал Access Server кардарына интернет трафигин туннел аркылуу жиберүүнү айтпайт, жогору карай маршрут түзбөйт жана NAT кошпойт. Миф - белги кутучанын өзү функция деген.

Текшерүү чындыгында эмнени башкарат

Ар бир EC2 тармактык интерфейси өзүнө арналбаган трафикти ыргытат, эгер инстанс маршрутизатор, NAT түзмөгү же VPN дарбазасы катары иштеп, сиз ал текшерүүнү өчүрбөсөңүз. Аны өчүрүү кайра жиберүүгө уруксат берет. Уруксат конфигурация эмес: инстанска дагы эле интернет дарбазасына же NAT түзмөгүнө маршрут керек, VPC маршрут таблицасына дагы эле тиешелүү жазуу керек, коопсуздук топтору дагы эле агымга уруксат бериши керек, ал эми сервер дагы эле кайтарылган трафикти которушу же маршрутташы керек.

Бир нерсени өзгөртүүдөн мурун учурдагы маанини aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck аркылуу текшериңиз. Эгер аны консолдо өзгөртсөңүз, инстанс башкалар үчүн кайра жибергендиктен өзгөртүңүз, кардар интернетке жете албагандыктан эмес.

Кардардын маршруттоо саясаты Access Serverге таандык

Access Server 3 ичинде Access Controls ачып, Internet Access and DNS бөлүмүн табыңыз. Internet Gateway тандоосу толук же бөлүнгөн туннелди сунуштайт; толук туннел кардарга демейки трафигин VPN ичине маршруттоону айтат, бөлүнгөн туннел интернет трафигин кардардын жергиликтүү жолунда калтырат. Продукттун жумуш агымы аркылуу сактап колдонуңуз, анан сыноо кардарын кайра туташтырыңыз, анткени саясат туташуу учурунда жеткирилет.

Эски чыгарылыштар башка менюларды колдонушат жана кээ бир Community OpenVPN курулуштарында барабар башкаруу жок. Жок экранды издөөдөн мурун орнотулган негизги версияны текшериңиз. Анан кардар эмне алганын ырастаңыз: толук туннел профили туннел аркылуу демейки маршрутту орнотушу керек, ал эми бөлүнгөн туннел профили аны кылбашы керек.

Туннелден кийин пакетти көзөмөлдөңүз

Кардар интернет трафигин туннелге жибергенден кийин сервер аны кайра жибериши жана адатта которушу керек. Access Server өзүнүн NAT жана маршруттоо эрежелерин башкарат, ошондуктан түзүлгөн файлдарга Community OpenVPN эрежелерин кошуунун ордуна иш жүзүндөгү конфигурацияны окуңуз; башкарылбаган эрежелер кийинки продукт жаңыртуусунда кайра жазылат же кагылышат. sudo iptables -t nat -L -n -v же nftables барабары чындыгында эмне которулуп жатканын көрсөтөт.

AWS тарабы өзүнчө жол. Коомдук ички тармактагы инстанс интернет дарбазасына түз жетет жана өзүнүн коомдук дарегин же ийкемдүү IPсин сактайт. Жеке ички тармактагы инстанска NAT дарбазасына же NAT инстансына маршрут керек, ал эми NAT түзмөгүнө өзүнүн интернет дарбазасына маршруту керек. Интернет дарбазасын VPCге туташтыруу өзү менен эч бир жеке булакка коомдук кайтаруу дарегин бербейт, ошондуктан ошол эле Access Server жөндөөсү бир ички тармакта иштейт, экинчисинде үнсүз ийгиликсиз болот.

Инстанстын ички тармагына байланган маршрут таблицасын текшериңиз, VPCнин негизги таблицасын гана эмес. Ички тармак байланыштары негизги таблицадан басымдуу, ал эми эскирген байланыш иштеп турган конфигурациянын кайра куруудан кийин токтошунун кеңири таралган себеби.

IP чыгышын жана DNSти өзүнчө кармаңыз

Алгач даректин литералын, анан атын ошол эле кардар колдонмосунан сынаңыз. Эгер curl -4 https://checkip.amazonaws.com коомдук даректи кайтарса, бирок хост аттары ийгиликсиз болсо, туннел жана NAT жолу иштеп жатат, ал эми маселе DNSте: жиберилген чечүүчү, кардардын чечүүчү абалы же чечүүчүнү бөгөттөгөн коопсуздук тобу. Access Serverдин DNS жөндөөлөрү ошол эле Internet Access аймагында, бирок алар башка код жолу менен жүрөт.

Кайтарылган даректи көздөгөн чыгышыңыз менен салыштырыңыз. Эгер ал инстанстын коомдук дареги болсо, трафикти инстанс которот; эгер ал NAT дарбазасынын дареги болсо, жеке ички тармактын жолу колдонулат. Экөө тең туура болушу мүмкүн. Сиз чыгара албаган тыянак - сервердеги браузер кардардын кайра жиберилишин далилдейт деген.

Бир белги кутуча тергөөнү жаппасын

IPv6 өзүнчө чечим. IPv4 үчүн толук туннел саясаты IPv6нын ташылышы, бөгөттөлүшү же агып чыгышы тууралуу эч нерсе айтпайт, ал эми кош катмарлуу кардар IPv4 туннелде турганда өзүнүн жергиликтүү IPv6 жолун колдонууну уланта алат. Сизге чындап маанилүү болгон дарек үй-бүлөсүн сынаңыз жана экинчисин өчүрүү керекпи же жокпу ачык чечиңиз.

Акырында ажыратылган абалды сынаңыз. Толук туннел тандоо туташкан учурдагы маршруттоо саясатын сүрөттөйт, туннел кулаганда эмне болорун эмес. Эгер талап VPNден тышкары эч бир трафик качпашы болсо, бул kill-switch жана өрт дубалынын маселеси жана маршрут таблицасынан тыянак чыгаруунун ордуна өзүнүн сыноосун талап кылат.