EC2 жеткиликтүүлүк зоналарында: VPN алдында маршруттоону текшериңиз

Эки EC2 инстансынын ортосуна VPN программалык камсыздоосун орнотуудан мурун бир суроого жооп бериңиз: алар бир VPC ичиндеби? Эгер ошондой болсо, жеке жол мурунтан эле бар жана аймактар аралык жайгаштыруу муну өзгөртпөйт. Бул кырдаалда иштин көп бөлүгү ар бир ички тармак чындыгында кайсы маршруттоо таблицасын колдонорун ырастоо, анан иш бузулуу жалпысынан маршруттоо көйгөйү болгонбу, аны аныктоо. Туннел бул конкреттүү суроого адатта туура эмес жооп.

Текшерүү 1: бир VPC же башка VPC-лер

VPC аймактык болуп саналат жана жеткиликтүүлүк зоналарын камтыйт, ал эми ар бир ички тармак так бир зонага таандык. Бир VPCнин ар башка зоналарындагы эки инстанс дагы эле ошол эле жеке маршруттоо доменинде.

Башка VPC-лер эч качан жеке маршрутту аймакты же зона белгисин бөлүшкөндүгү үчүн гана албайт. Мындай учур колдоого алынган туташууну жана маршруттар менен уруксаттар боюнча өзүнчө ишти талап кылат, бул өзүнчө чечим.

Текшерүү 2: ички тармактардын маршруттоо таблицалары эмне дейт

Жайгашууну реалдуу маанилер менен жазыңыз. Дареги 10.60.0.0/16 VPC, ички тармактары 10.60.1.0/24 жана 10.60.2.0/24 болсо, инстанстарга 10.60.1.10 жана 10.60.2.20 VPCнин жергиликтүү маршруту аркылуу жол берет.

Андан кийин биринчи тапкан таблицаны эмес, эки ички тармакка тең байланышкан таблицаларды карап чыгыңыз. Такыраак текшерүү же түзмөк маршруту негизги маршрутту алмаштырышы мүмкүн, ал эми жергиликтүү маршруттун максаты өзү жаңыраак конфигурацияларда алмаштырылышы мүмкүн. Консолдо бир жерден көрүнгөн жергиликтүү маршрут эки жумуш жүктөмү тең аны колдонорун далилдебейт.

VPC чындыгында бере турган жеке даректерди жана аттарды колдонуңуз. Жеке дарек 10 менен башталышы шарт эмес, ал эми аны эстен ойлоп табуу иштеп жаткан чөйрөгө туура эмес диагноз коюунун жолу.

Текшерүү 3: маршруттоо же авторизация

Маршруттоо пакетти максаттын тармактык интерфейсине гана жеткирет. Максаттын коопсуздук тобу дагы эле булакты жана кызматты кабыл алышы керек, булактын чыгуучу эрежелери сурамга уруксат бериши керек, ал эми каалаган тармактык ACL эки багытты тең уруксат бериши керек, анткени ACL абалды сактабайт.

Анын артында коноктун файрволу, угуучунун байланышы жана колдонмонун өзүнүн инсандыгы турат. Алардын ар бири маршруттоо кемчиликсиз жеткирген сурамды четке кагышы мүмкүн.

Кабыл алуу колдонмонун чыныгы операциясы болушу керек. Ийгиликтүү ping колдонмого кирүү бербейт жана TLS аталышы менен күбөлүктөрү туура экенин далилдебейт, ал эми блоктолгон ping бардык жеке кызматтардын токтогонун далилдебейт.

Текшерүү 4: чындыгында өзүнчө туташуу керекпи

VPN долбоордо калышы мүмкүн, бирок айтылган себеп менен: бул VPCни кеңсеге туташтыруу, ноутбуктарды киргизүү же катмар үстүндөгү талапты аткаруу. Бул себеп бир VPC ичиндеги кадимки байланыштан айырмаланат.

VPC эмне эместигин да эстеп коюңуз. Ал үйлүк Ethernet сегментинин кеңейиши эмес. Таратуу аркылуу табууга көз каранды колдонмонун баалоо үчүн өзүнчө талабы бар. Бул маршруттоо катасы эмес, долбоордогу кемтик.

Текшерүү 5: шифрлөө маселеси

Жеке дарек жана уруксат эрежеси колдонмо катмарындагы криптографиялык коргоо жөнүндө эч нерсе айтпайды. Эгер маалыматтарга четине чейин коргоо керек болсо, ал кызмат чындыгында колдогон протокол жана инсандык моделинен келет.

Долбоор жазуусунда тармактык жана колдонмо катмарлары тууралуу ырастоолорду өзүнчө кармаңыз, анткени аларды бириктирүү текшерүүнүн эч ким ишке ашырбаган коргоону ырастоосуна алып келет.

Эмнени жазуу керек

Эки ички тармактын идентификаторун, ар бирине байланышкан маршруттоо таблицасын, коопсуздук топторунун шилтемелерин жана сиз сынаган колдонмо операциясын жазып коюңуз. Бул төрт факт жана алар ушул жол тууралуу келечектеги талаштардын көбүн чечет.

Зонага жайгаштыруу гана сизге VPN кошууну эч качан айтпайт жана жеке сурам эмне үчүн ишке ашпаганын эч качан түшүндүрбөйт.