Булак/багытты текшерүү — бир дарбаза, бүт VPN жолу эмес
Өткөрүп берүүчү инстанска AWS уруксаты, ошондой эле Linux маршруттары жана брандмауэр эрежелери керек. Булак/багыт текшерүүсүн өткөрүп берүүчү инстанстын өзүндө текшериңиз.
VPN EC2 инстансында бүтөт, ошол инстанстын туннель дарегине жете аласыз, ал эми андан ары башка жеке хостко өтүүгө тийиш болгон трафик жок болуп кетет. Бул эки башка сыноо, аларды аралаштыруу сааттарды текке кетирет. Биринчиси инстанска жете аласызбы деп сурайт; экинчиси өзүнө таандык эмес багыт үчүн трафикти өткөрүп берүүнү талап кылат, бул Linux өткөрүп берүүсүн, брандмауэр саясатын, алыскы тарапта маршрутту жана конок операциялык системасына эч кандай тиешеси жок AWS деңгээлиндеги уруксатты талап кылат. Консолдо эч нерсе бул айырмага көңүл бурбайт. Симптом маршруттоо бузулушуна окшош, адатта андай эмес.
Бир нерсени өзгөртүүдөн мурун эки сыноону бөлүңүз
Дарбазага жетүү туннелди, анын дарегине чейинки маршрутту жана алмашууга жол берген коопсуздук тобун далилдейт. Башка хост үчүн өткөрүп берүү булардын эч бирин далилдебейт: ал башка булак дарегин, башка багытты жана сөзсүз түрдө ошол үчүн курулбаган ролдогу инстансты колдонот. Эки сыноону өзүнчө жазып, кайсынысы ийгиликсиз болорун белгилеңиз, анткени ар биринин оңдоосу башка консолдо. Туннелдерди бүтүрүү үчүн гана курулган дарбаза инстансынын башка нерсе үчүн өткөрүп берүүгө эч кандай себеби жок, жана анын демейки параметрлери муну чагылдырат. Ошондуктан экинчи сыноого өзүнүн конфигурациясы керек, биринчисиндеги кичине оңдоо эмес.
Дарбазага иштеген ping жана анын артындагы хостко ийгиликсиз болгон ping үзгүлтүктүү маселе эмес. Бул өткөрүп бере алары айтылбаган инстанстын күтүлгөн жүрүм-туруму.
Параметрге кол тийгизүүдөн мурун жолду жазып алыңыз
Кардар префиксин, өткөрүп берүүчү инстансты же тармактык интерфейсти, максаттуу кошумча тармакты жана жооп маршрутун жазыңыз. VPC маршруттар таблицасындагы инстанска шилтеме кылган жазуу инстанстын операциялык системасын өткөрүп берүүгө конфигурациялабайт, ал эми өткөрүп берүү күйгүзүлгөн конок өзөгү VPC маршрутун түзбөйт. Бул катыштын эки учу тең болушу керек, жана алар ар кайсы жерлерде ар кандай уруксаты бар адамдар тарабынан оңдолот.
Андан кийин булак/багыт текшерүү параметрин чыныгы өткөрүп берүү компонентинде текшериңиз, VPC-деги ар бир инстанста эмес. AWS башкалар үчүн трафикти өткөрүп берүүчү инстанска бул текшерүүнүн өчүрүлгөн болушу эмне үчүн керек экенин, ошондой эле параметрдин эмне үчүн бүт VPC үчүн демейки эмес, ар бир инстанс үчүн чечим экенин документтештирет.
Төрт чек, жана текшерүү алардын бири гана
Жолду төрт суроо катары карап, аларга ирети менен жооп бериңиз. Биринчи ийгиликсиз жооп — иштин орду, калгандарынын эч бири аны жаппайт.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
Ирет маанилүү, анткени текшерүү арзан: маршруттар бир баракта көрүнөт, текшерүү бир атрибут, ал эми багыттын пикири адатта адамдар эң акырында сураган нерсе.
Которуу багыттын кайсы булакты көрөрүн өзгөртөт
Маршрутталган долбоор кардардын булак дарегин сактайт, ошондуктан багытка кардар префиксине кайтуу маршруту керек. Которулган долбоор анын ордуна дарбазанын дарегин сунуш кылат, бул ошол талапты алып салат жана аны дарбазадагы абал таблицасы менен алмаштырат. Ниеттенген архитектураңызга ылайык чечим кабыл алыңыз, байланышы жок мисал колдонуп, иштегендей көрүнгөндүктөн которуу кошпоңуз.
Эгер которсоңуз, эрежени кардар префикси жана ниеттелген багыт менен чектеңиз. Эгер сактасаңыз, алыскы тарап маршрутту чындап билерин ырастаңыз, үйрөнөт деп божомолдобоңуз.
Баштапкы кардардан сынаңыз, анан өзгөртүүнү сактаңыз
Дарбазада түзүлгөн суроо-талап ийгиликтүү болушу мүмкүн, ал эми өткөрүлүп берилген суроо-талап ийгиликсиз болот, анткени бул башка булак жана өткөрүп берүүнүн башка учуру. Максаттуу оңдоодон кийин ийгиликсиз болгон так ошол кардардан-ресурска сыноону ошол эле кардардан кайталаңыз жана суроо-талаптын жеткенин гана эмес, жооптун кайтарын ырастаңыз.
Акырында параметрди дарбазанын башкарылуучу конфигурациясына коюңуз, алмаштыруучу инстанс аны алсын. Кол менен жасалган өзгөчөлүккө көз каранды ийгиликтүү сыноо кийинки кайра курууда бүтө турган сыноо, ал эми аны ачкан адам эмне үчүн экенин эстеп калуу үчүн ал жерде болбойт.