AWS Client VPN же bastion: peered VPC'ге жетүү үчүн
Эки жол тең иштейт, бирок ар башка жерде бузулат. Endpoint маршруттарын, кайтаруу маршруттоосун жана bastion чыныгы чек болгон үч учурду салыштырыңыз.
Бир Client VPN endpoint өзүнүн байланышкан VPC'си менен peering мамилесиндеги VPC'ге жете алат, жана муну мыйзамдуу кылуу үчүн bastion керек эмес. Жасоого татыктуу тандоо — трафиктин кайда кол алмаштыраары: association кошумча тармагына конуп, peering байланышын кесип өткөн endpoint маршруту, же peered VPC ичинде сессияны бүтүргөн host. Эки жол тең иштейт жана алар ар башка жерде ийгиликсиз болот, ошондуктан чечим AWS эмнеге уруксат берери тууралуу эмес, менчик жана аудит тууралуу. Мына, мен алардын ортосунда кантип тандайм, жана маршрутталган жолду иштеткен төрт жазуу.
Эки жол, бир endpoint, ар башка ээлер
Маршрутталган жолдо кардар трафиги endpoint'ке жетет, association кошумча тармагындагы Client VPN тармактык интерфейсинин дарегине которулат жана A'дан B'ге peering байланышы аркылуу ошол кошумча тармактан чыгат. VPC B эч бир VPN сессиясын бүтүрбөйт; ал VPC A'дан кадимки трафикти көрөт, ошондуктан анын кайтаруу маршруту кардар пулуна эмес, VPC A'га багытталган.
bastion жолунда кардар адегенде host'ко жетет. A'дагы bastion акыркы секирүүнү дагы эле peering байланышы аркылуу өткөрөт, ошондуктан peering иши сакталат жана сессия кошулат. B'деги bastion да кардардан жолду талап кылат, жана бул жол ошол эле endpoint маршруту болсо, маршрутталган дизайнга бир секирүү кошулат. bastion ишти бир гана учурда азайтат: ал мурунтан бар болсо, мурунтан бекитилген болсо жана анын артындагы нерсеге тармактык чек эмес, сессиялык чек керек болсо.
Төрт жазуу маршрутталган жолду иштетет
AWS бул сценарийди Client VPN how-it-works баракчасында документтейт, жана иш жүзүндө баары эки же үч командага таандык төрт жазууга келип такалат. Диапазондор иллюстративдүү; peered диапазон уникалдуу болушу керек, ал эми кайтаруу диапазону сиздин планга туура келиши керек.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Маршрут жана уруксат өзүнчө көзөмөлдөр. Туура келген авторизация эрежеси жок туура endpoint маршруту кардарга эч нерсе бербейт; endpoint маршруттай албаган багыт үчүн авторизация эрежеси ага кара чуңкур берет. Экөө тең бир диапазонду аташы керек.
endpoint маршруту endpoint'тин өз VPC'синдеги кошумча тармакка багытталат, эч качан peering байланышына эмес. VPC маршрут таблицалары peering байланышына багытталат, эч качан instance же интерфейске эмес. Экөөнүн ортосунда маанини көчүрүү нааразылыксыз сакталат жана эч нерсени маршруттабайт.
association кошумча тармагы кардардын булагын которгондуктан, B кардар пулуна эмес, VPC A'га кайра маршрутташы керек. Кардар диапазонун peering байланышы аркылуу жөнөтүү симметриялуу көрүнөт, кароодон өтөт жана унчукпай ийгиликсиз болот, анткени B эч качан кардар булагы бар пакетти көрбөйт.
Коопсуздук топтору жана уруксаттын акыркы метри
Маршруттоо пакеттерди B'ге жеткирет; B дагы эле чечет. Ошол эле аймактагы активдүү peering байланышы үчүн B'деги коопсуздук тобу Client VPN association'ине колдонулган топко шилтеме жасай алат, бул эрежени тар кармайт жана дарек өзгөрүүлөрүнө туруштук берет. Топ шилтемеси мүмкүн болбогон жерде 0.0.0.0/0'го кеңейтүүнүн ордуна association кошумча тармагынын диапазонуна ачык уруксат бериңиз, анткени бул маршруттоо катасын түшүндүрүүсүз timeout'ко айландырат.
Андан кийин маршруттоо эч качан тийбеген нерсени текшериңиз: эки кошумча тармактагы тармактык ACL'дер, колдонмонун уруксат тизмеси же token аудиториясы, жана DNS. peering жеке хостинг аймактарын көчүрбөйт, ошондуктан ноутбук чече албаган дарекке иштеген маршрутту кармашы мүмкүн, ал эми peering байланышы сертификатка ишеним кошпойт. endpoint'ти B үчүн жооп берген resolver'ге багыттаңыз, анан жеке ат менен сертификаттын дал келүүсүн ырастаңыз.
bastion чыныгы жооп болгондо
Мен bastion'ды атайын тандоо үчүн үч триггер кармайм. peered VPC сиздин диапазонуңузга кайтаруу маршрутун кошпогон же топ шилтемесин кабыл албаган командага таандык. Жетүү ар бир сессия үчүн бекитилиши же жазылышы керек, ал эми колдонмо муну өзү көтөрө албайт. Же акыркы секирүү B'дин ичинде калышы керек, анткени кызмат бир гана ошол жерде чечилет жана анын TLS инсандыгы ички атка бекитилген.
Булардын эч бири peering транзиттик эмес деген фактыны айланып өтүү эмес. Транзиттик эместтик B'деги ресурстар эмне кыла аларын чектейт: алар A'ны A peering мамилесиндеги үчүнчү VPC'ге транзит катары колдоно алышпайт. Бул VPN колдонуучу түздөн-түз peered VPC'ге жете албайт дегенди эч качан билдирген эмес, жана ушул туура эмес окууну айланып өтүү үчүн курулган bastion — себепсиз патчталуучу host.
Кайтарма ката убакыт өткөн сайын кымбат: ар бир команданы мурунтан бар жалгыз bastion аркылуу өткөрүңүз, анан анын коопсуздук тобу, маршрут таблицасы жана патч терезеси өндүрүштүк көз карандылык экенин аныктаңыз. host кайсы триггерге кызмат кылаарын жазыңыз жана триггер жок болгондо аны кызматтан чыгарыңыз.
Transit Gateway жана бир нече association арифметиканы өзгөртөт
Эгер endpoint кошумча тармакка эмес, түздөн-түз Transit Gateway'ге туташтырылган болсо, модель өзгөрөт: кардарлар эми association кошумча тармагындагы интерфейс дарегине которулбайт, жана gateway маршрут таблицалары кардар диапазонун кошуп peered VPC'ге алып баруучу туташууну көтөрүшү керек. Бул масштабда тазараак, бирок иш төрт жазуудан gateway маршрут таблицаларына өтөт.
Бир нече association текшерүүлөрдү көбөйтөт. endpoint маршруту endpoint'ке таандык, бирок ар бир association кошумча тармагына чыныгы peering кийинки секирүүсү бар маршрут таблицасы керек. Сессия бир association аркылуу ийгиликтүү болушу мүмкүн, экинчисинде кайтаруу жолу болбошу мүмкүн, ошондуктан ар бирин сынаңыз.
Бузулушту тез тапкан текшерүү тартиби
Буларды ирети менен аткарыңыз; ар бир кадам кийинкиси ийгиликсиз болгондо да өтүшү мүмкүн, ал эми кардар timeout'у кайсысы сынганын дээрлик айтпайт.
- Кардардан колдонмонун атын чечиңиз жана дарек peered диапазондун ичинде экенин текшериңиз.
- Туташыңыз, анан сессияны бүтүргөн association үчүн endpoint туташуу журналын окуңуз.
- Ошол association кошумча тармагында маршрут таблицасы peered диапазонду активдүү peering байланышына багыттаарын ырастаңыз.
- B'деги ресурс кошумча тармагында интерфейс диапазонунун кайтаруу жазуусун жана туура келген топ эрежелерин ырастаңыз.
- Бир уруксат берилген операцияны жана жетүүгө болбой турган бир ресурсту сынаңыз; экинчиси жөндөө калдыктарын кармайт.
- Ар кандай split-tunnel маршрут өзгөрүүсүнөн кийин кайра туташыңыз, анткени иштеп жаткан туннель жаңы маршрут топтомун кабыл албайт.
Эсте калтырууга татыктуу эки симптом бар. B'ге жоопсуз жеткен SYN — дээрлик ар дайым жетишпеген кайтаруу маршруту. Бүтүп, анан кайра орнотулган туташуу адатта топ, ACL же колдонмо. Экөө тең endpoint журналында себеп катары көрүнбөйт, ошондуктан төрт жазууну ар биринин жанында ээси менен кармаңыз.
Үч триггердин эч бири аткарылбаса, маршрутталган жолду бүтүрүңүз жана ошол төрт жазууну жазыңыз. Бирөө аткарылса, bastion'ды бир гана ошол чек үчүн кармаңыз жана endpoint маршрутун алдында сессия талап кылбаган кызматтарга калтырыңыз.