AWS Client VPN бөлүнгөн туннел менен: кайсы маршруттарды жарыялоо керек

Консоль бөлүнгөн туннель үчүн которгуч сунуштайт, ошондуктан чечим белги кутучадай сезилет. Бирок андай эмес. Клиентке чындыгында акыркы чекиттин жарыяланган маршруттар топтому жетет, жана ошол тизме кайсы жеке префикстер туннелди колдоноорун, жалпы интернет трафиги жергиликтүү калабы же AWS аркылуу чыгабы, жана клиент кайсы resolver менен дагы сүйлөшө аларын аныктайт. Үч суроо долбоорду чечет, жана ар бирине байланыш ийгиликтүү болуп турганда эле жаман жооп берүүгө болот.

Бөлүнгөн туннелдин желеги — багыттардын тизмеси эмес

AWS бөлүнгөн туннелди байланыш түзүлгөндө акыркы чекиттин маршруттарын клиенттин маршрут таблицасына кошуу деп сүрөттөйт. Жеке VPC үчүн маршрут туннелди ошол багыт менен чектейт; калганы клиенттин кадимки жолу менен жүрөт. Демейки маршрут башка таасири бар башка нускама, ошондуктан бөлүнгөн туннель документтери ушул режим үчүн конфигурацияланган акыркы чекитте 0.0.0.0/0 жарыялоого каршы эскертет: бул байланышты кеңейтүүнүн ордуна адатта бузат. Акыркы чекиттин маршрут таблицасы — саясат, ал эми клиенттин маршрут таблицасы — текшере ала турган натыйжа.

Акыркы чекиттин маршрут таблицасын жана клиентке орнотулган маршруттарды чогуу окуңуз. Белги ниетти сүрөттөйт; маршруттар эмне болорун сүрөттөйт.

Биринчи чечим: жалпы интернет трафиги жергиликтүү калышы керекпи?

Эгер серептөө колдонуучунун өз байланышын колдонушу керек болсо, ишке керектүү жеке багыттарды гана жарыялап, ошол жерде токтоңуз. Толук туннель окуу куралында бири бар болчу деп интернет маршрутун кошпоңуз жана кошумча маршрут коопсуздукту жакшыртат деп ойлобоңуз. Ал жолду өзгөртөт, саясат кошпойт жана адатта пландабаган кечигүүгө алып келет.

Эгер интернет трафиги AWS аркылуу чыгышы керек болсо, документтелген интернетке кирүү архитектурасын куруңуз: акыркы чекиттин маршруту, авторизация эрежелери, байланышкан ички тармактын жолу, коопсуздук саясаты жана иштеген жогорку чыгуу. Жалгыз демейки маршрут алардын эч бирин бербейт.

Экинчи чечим: кайсы жеке префикстер жана кимдин авторизациясы менен?

Чыныгы жүктөмгө кызмат кылган эң кичине багыттар топтомун жарыялаңыз жана ар бир байланышкан ички тармак аларга маршруттай аларын текшериңиз. Акыркы чекиттин маршрут максаты жана ички тармактын VPC маршруттоосу ар башка катмарлар, жана биринде бар маршрут экинчиси жөнүндө далил эмес. Авторизация дагы өзүнчө: багыт жеткиликтүү болуп, баары бир четке кагылышы мүмкүн, анткени клиенттин тобунда ага уруксат берген эреже жок.

Бир ийгиликтүү сессияны текшерүү бир жолду далилдейт. Ар бир байланышкан ички тармакты текшериңиз, анткени кийин кошулган ички тармак байланышы — жоголгон маршрут адатта ошол жерде жатат.

Багытка аты боюнча жетүү керек болгондо, кийинки суроо маршрут эмес, аттарды чечүү экенин эске алыңыз.

Үчүнчү чечим: кайсы resolver туннелди ээрчийт?

Клиент VPN аркылуу гана жеткиликтүү DNS серверин алышы мүмкүн, жана бул resolver анын дареги авторизацияланган маршруттун ичинде болгондо гана иштейт. Эки жарымын тең текшериңиз: resolver дареги жарыяланган маршрутту ээрчийт, ал эми сервер колдонмо сураган аттарга жооп берет. Дарек боюнча ийгиликтүү, бирок хост аты боюнча ийгиликсиз сурам ат коюуга, маршруттоого эмес, көрсөтөт, жана бул учурда туннелди оңдоо түштөн кийинки убакытты текке кетирет.

Жалпыга ачык аттар байланышка чейинкидей чечилиши керек, бул эмнени жарыялаганыңыз жөнүндө так болуунун дагы бир себеби.

Маршруттар топтомун өзгөртүңүз, анан эки дүйнөнү тең текшериңиз

AWS бөлүнгөн туннелдин акыркы чекитинде маршруттарды өзгөртүү клиент байланыштарын кайра коюуну документтештирет. Өзгөртүүнү ушуну эске алып пландаңыз: колдонуңуз, колдоого алынган клиент аркылуу кайра туташыңыз жана түзөтүүдөн мурун колдонулган абалга ишенүүнүн ордуна орнотулган маршруттарды кайра окуңуз. Эскирген колдонулган абал — туура өзгөртүүнүн бузулган көрүнүшүнүн эң кеңири тараган себеби.

Долбоорду бир жеке ресурс жана бир жалпыга ачык багыт экөө тең ниеттегидей алып жүргөндө гана кабыл алыңыз, аты жана дареги боюнча, чындыгында колдогон дарек үй-бүлөлөрүндө. Аутентификация кылган туннель туура бөлгөн туннель менен бирдей эмес.

Маршруттар тизмесин негиздеменин жанына runbook-ка жазыңыз, кийинки адам атайын жасалган четтетүүнү унутулгандан ажырата алышы үчүн.