EC2 Elastic IP — инстанстын жеке VPN дареги эмес

Инстанстын жеке дареги бар, Elastic IP ага байланышкан, жана ошол жарыя /32 үчүн маршрут VPNге кошулат, экөө бир нерсе болот деген үмүттө. Болбойт. Elastic IP — коноктун сыртында, интернет шлюзи аркылуу, интернет жолу менен жүргөн трафикте аткарылуучу котормо. Коноктун операциялык системасы бул даректи эч качан интерфейсте конфигурацияланган абалда көрбөйт. Аны туннель интерфейсине кошуу жогорку котормону кайталабайт жана ошол эле машине үчүн экинчи, карама-каршы келген инсандыкты жаратат.

Эки дарек, бир инстанс

Инстанстын тармактык интерфейси VPC ичинде жеке даректи кармайт, жана бул конок билген дарек. Elastic IP ошол эле интерфейске байланышкан, бирок картанын жарыя жагында жашайт.

Интернет аркылуу инстанска жеткендин баары жеке дарекке которулуп келет. Инстанс интернетке жөнөткөндүн баары Elastic IPни булак катары алып чыгат, дагы ошол котормо себебинен.

Коноктун ичинде бир дарек бар. Сыртында эки. Ушул асимметрия бул тармактагы башаламандыктын көбүн түшүндүрөт. Конок шлюз эмнени которорун конфигурациялай албайт. Ал өзүндө чындап бар дарекке гана жооп бере алат.

Интернет шлюзи чындыгында эмне кылат

AWSтин интернет шлюзи тууралуу документтери бул жайгаштырууну сүрөттөйт: инстанс өзүнүн жеке IPv4 дарегин билет, ал эми шлюз интернет жолундагы трафикке тиешелүү жарыя IPv4 же Elastic IP котормосун камсыз кылат.

Бул тармактык даректерди которуу, псевдоним эмес. Картаны шлюз кармайт, ал байланышка байланган жана андан өткөн пакеттерге гана колдонулат. Байланышты алып салыңыз, жарыя инсандык конок эч нерсе байкабастан жоголот.

Ошондуктан жарыя /32ге адрестелген жеке VPN пакети коноктун жергиликтүү дарегине барган жеке пакет катары кайра чечмеленбейт. Пакет өзүнө туура келген маршрутту ээрчийт, ал аны интернет шлюзине жөнөтөт, ал эми шлюздун жүрүм-туруму жолдун эки багытта тең уруксат берилгенине байланыштуу.

Туннель интерфейсинин амалы эмнеге ийгиликсиз болот

Elastic IPни туннель интерфейсине дайындоо коноктон жарыя даректи жергиликтүү деп кароону талап кылат. Эми эки нерсе бир дарекке талашат: интернет жолундагы шлюздун котормосу жана туннелдин ичиндеги жергиликтүү интерфейс. Кайткан трафиктин кайсынысы колдонулаары тууралуу ырааттуу жообу жок.

Иштеп жаткандай көрүнсө да, дизайн чыныгы суроону жашырган. Кардарлар туннель аркылуу жеке дарекке же интернет аркылуу жарыя акыркы чекитке жетишет, ал эми эки жолдун коопсуздук топтору, журналдары жана ийгиликсиздик режимдери ар башка.

Дарек эч качан маселе болгон эмес. Жолду тандоо маселе болгон.

Үч максат, үч дизайн

Максат жарыя VPN акыркы чекити болсо, Elastic IP туура курал: алыскы өнөктөштөр ага интернет аркылуу туташат жана шифрленген транспорт инстанста бүтөт. Ички колдонмо трафиги андан кийин жеке даректи колдонот.

Максат колдонмого жеке жетүү болсо, барар жери жеке дарек же ага чечилүүчү жеке DNS аталышы, ал эми VPN маршруту, коопсуздук тобу жана кайтуу жолу баары макул болушу керек. Elastic IP бул дизайнда такыр көрүнбөйт.

Максат VPN колдонуучулары үчүн туруктуу жарыя чыгуу инсандыгы болсо, бул чыгуу жагындагы NAT дизайны, кардардын туннелиндеги дарек эмес. Окшош угулган үч максат үч башка диаграмма берет жана алардын бири гана Elastic IPни жаңы жерге коюуну камтыйт.

Тандаган жолуңузду текшериңиз

Жеке жетүү үчүн VPN маршруту жеке префиксти камтыйарын, VPC маршруттар таблицасы трафикти туннелге кайтарарын, коопсуздук тобу кардардын булагына уруксат берерин жана кардардын өз firewall'у жоопко уруксат берерин ырастаңыз. Анан pingдин ордуна бир чыныгы сурамды сынап көрүңүз.

Жарыя жетүү үчүн кардардын интернет чыгуусун, жарыя кирүүнүн маршрутталышын жана анын коопсуздук саясатын ырастаңыз. VPN кардары туннель аркылуу жарыя акыркы чекитке жете алары туннелдин чыгуу жана firewall эрежелерине байланыштуу, Elastic IP байланышына эмес.

Эгер жарыя хост аталышы эки тараптан тең иштеши керек болсо, VPN кардарларына жеке дарек менен, калгандардын баарына жарыя дарек менен жооп берген DNS дизайнын колдонуңуз жана сертификатты дарекке эмес, атка жарактуу кармаңыз. Иш тартиби: максатты атаңыз, ага таандык даректи тандаңыз, анан маршруттарды, саясатты жана бир сурамды текшериңиз.