Бир AWS Client VPN сессиясынын артындагы LAN: эмне өткөрүлөт

Ноутбук AWS Client VPN бүткөн чекитине туташат, жеке ички тармакка жетет, жана баары соо көрүнөт. Ошол эле LANдагы стол үстүндөгү компьютер эч жерге жетпейт, бирок Linux хостунда да көпүрө интерфейси бар жана эки машина бир кабелде турат. Туннелде эч нерсе туура эмес конфигурацияланбаган; жетишпеген бөлүк — маршруттоо, ал эми көпүрө — жалган из.

Client VPN сессиясын LANга кеңейтүү — дарбаза ролу. Бул башкарылуучу кызматка тартылган Ethernet сегменти эмес.

Хост иштейт, LAN иштебейт

Linux машинасындагы туннел интерфейсинин дареги Client VPN кардарынын CIDR ичинде, жана бүткөн чекит VPC диапазондору үчүн маршруттарды жиберди. Ошол машинада жасалган суроо — жергиликтүү жаралган трафик: ал маршрут тандайт, туннелден чыгат жана жооп алат. Бул жол эч качан өткөрүү кодун, LAN интерфейсин же транзитти башкарган кандайдыр бир брандмауэр эрежесин тийбейт.

Башка LAN түзмөгүнөн келген трафик — башка агым. Ал LAN интерфейсине келет, туннелди көрсөткөн маршрут керек, өткөрүү күйгүзүлүшү керек, ага уруксат берген брандмауэр керек жана жооп ошол эле хост аркылуу кайтышы керек. Төрт шарт, жана иштеп жаткан ноутбук сынагы алардын бирин да далилдебейт. Стол үстүнөн бузулуу таң калыштуу көрүнөт: туннел көтөрүлгөн, эсептик маалыматтар жарактуу, ал эми багыт эч качан жооп бербейт. Кемчилик дарбазанын өткөрүү жолунда жергиликтүү, кызматта эмес.

Ар бир кардар дарбаза боло албайт

AWS өзүнүн Client VPN стол үстүндөгү колдонмосу IP өткөрүүнү колдобой турганын, ал эми башка кардарлар колдошу мүмкүн экенин билдирет. Бул чектөө кандайдыр бир буйрукту теруунун алдында архитектураны чечет. Эгер жалгыз жеткиликтүү кардар расмий стол үстүндөгү колдонмо болсо, LAN үчүн өткөргөн Linux дарбазасы — бүтүрө албаган конфигурация, жана эч кандай masquerading муну өзгөртпөйт.

Алмаштыруучу кардар бүткөн чекиттин аутентификация ыкмасына жана киргизүүнү көздөгөн саясатка да туура келиши керек. Сертификатка, каталогго жана SAMLга негизделген бүткөн чекиттер бирдей кардар конфигурацияларын кабыл алышпайт, ал эми аутентификациядан өтүп, бирок жиберилген маршруттарды этибарга албаган үчүнчү тараптын кардары жакшыртуу эмес.

Кардар тандоону долбоорду кароонун бөлүгү катары караңыз. Ал LAN өткөрүү үлгүсүнүн таптакыр жеткиликтүү экенин жана бүткөн чекиттин дарбазанын артындагы ар бир түзмөк үчүн кандай инсандыкты көрөөрүн аныктайт. Кардарды жана ал сыналган бүткөн чекит конфигурациясын жазып алыңыз. Жарым жылдан кийин кардарды алмаштыруу долбоор болжолдогон мүмкүнчүлүктү үнсүз жок кылышы мүмкүн.

LANды туннелге багыттап, которуңуз

Колдоого алынган кардар ордунда болсо, калганы кадимки дарбаза иши. LAN түзмөктөрүнө VPC диапазону үчүн Linux хостун көздөгөн маршрут керек, ал эми хостко өткөрүү күйгүзүлүшү керек. Эгер VPC трафикти каалаган LAN дареги катары эмес, туташкан кардар катары көрүшүн кааласаңыз, чыгууда булакты которуңуз.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Эрежени жогорудагыдай туннел интерфейси жана VPC диапазону менен чектеңиз, хост өткөргөн нерсенин баарын masquerade кылуунун ордуна. Тар эреже жөнүндө ойлонуу оңой, жана ал баштапкы булак дарегин сакташы керек болгон трафикти үнсүз өзгөртпөйт.

Мүмкүн болсо, LAN маршруту өзү келсин: DHCP параметри, маршрутизатор жарнамасы же LANды башкарган нерсе жиберген статикалык маршрут. Бир гана сынак машинасында болгон маршрут башка бирөө аракет кылган учурда долбоорду бузук көрсөтөт.

Жоопко да жол керек

Суроо VPCга жеткенден кийин, жооп ошол эле которуу абалдары аркылуу кайтып, дарбазадагы LAN маршрутун табышы керек. Бул бөлүк адатта masquerade эрежеси ордунда болгондо иштейт, анткени салыштыруу аны аткарган хостто жашайт. VPC тарабында жоопту башка жерге жиберген маршрут болгондо бузулат, ошондуктан кардардын CIDR маршруту да, бүткөн чекиттеги ички тармакты байлоо да маанилүү.

Эсептегичтерди караңыз, жалгыз ping эмес. Нөл пакеттүү masquerade эрежеси суроо туннел интерфейсине эч качан жетпегенин айтат, бул LAN маршрутуна же кардардын өз маршруттоо таблицасына шилтейт. Пакеттери бар, бирок жооптору жок эреже VPC тарабына, укук берүү эрежелерине же которулган булакты кабыл албаган коопсуздук тобуна шилтейт. Бир нерсени өзгөртүүнүн алдында эки багытты тең окуңуз, анткени бир тарапта гана өскөн сан — жай эмес, бир багыттуу жол.

Бүткөн чекит башкарылуучу кызмат экенин унутпаңыз. Оңдоого сервер конфигурация файлы да, кошууга client-config директивасы да жок, ошондуктан кардардын ички тармагынын өзгөчө маршруттары бар өзү башкарылган OpenVPN сервери үчүн жазылган нускамалар өтпөйт. AWSте туткалар — ички тармакты байлоо, укук берүү эрежелери жана VPC маршруттоо таблицалары.

Жалпы инсандык — саясат жооп бериши керек болгон бөлүк

Дарбазанын артындагы ар бир түзмөк дарбазанын VPN сессиясын колдонот. Бүткөн чекиттин укук берүү эрежелери колдонуучуга же топко кирүү берет, жана кызматтын көз карашынан бул сессияда так бир колдонуучу бар. Жергиликтүү өткөрүү бул инсандыкты түзмөк боюнча аутентификацияга көбөйтпөйт жана түзмөктүн абалын текшерүүнү бурчтагы принтерге чейин кеңейтпейт.

Бул кабыл алынышы мүмкүн, же долбоордун четке кагылышынын себеби болушу мүмкүн. Бул VPC ресурстары ким чалып жатканы тууралуу эмнени болжолдооруна байланыштуу. Укук берүү моделине туура келген жалпы инсандык жакшы; бир аутентификацияланган сессияны үнсүз бүт LAN кирүүсүнө айландырганы — жазылууну күткөн тыянак.

Эгер талап чындап эле бүт аймакты VPCга туташтыруу болсо, алыскы кирүү кардарын кеңейтүүнүн алдында колдоого алынган аймак-аймак долбоорун салыштырыңыз. Семантика башкача, жана VPC LANга туташууларды башташы керек болгондо NATталган кардар сессиясы аймак байланышынын начар алмаштыргычы.

Кардарды, маршрутту, которууну жана инсандык окуясын ушул тартипте чечиңиз. Ар бири кийинкисин чектейт, жана тартип хосттун эмне үчүн иштеп, LANдын иштебей жатканын түшүндүрөт.