AWS NAT шлюзу VPN тарапка кайсыл булак IP колдонот?

Сиз VPC консолун ачасыз, анткени өнөктөш сайттан сайтка VPN аркылуу кайсыл булак диапазону келерин сурады. NAT шлюздары бети Elastic IP тиркелген коомдук шлюзду көрсөтөт, жана азгырык ошол даректи жөнөтүп, андан ары өтүү. Бул интернет жолу үчүн туура жооп жана VPN жолу үчүн туура эмес жооп, ал эми айырма маршрут таблицасы кайсыл шлюзду көрсөтүп турганында. Уруксат тизмесин жазганга чейин маршрутту басып өтүңүз.

Уруксат тизмесинен эмес, NAT шлюздары бетине баштаңыз

NAT шлюздары бети сизге ички тармакты, түрүн жана Elastic IP-ни айтат, жана бул үч талаа баштоо үчүн жетиштүү. Ал айтпаганы — трафиктин андан кийин жүрө турган жолу. Бул NAT шлюздун ички тармагына тиркелген маршрут таблицаларынан келет.

Алгач түрүн окуңуз, анткени коомдук же жеке болушу чынжырда кийинчерээк интернет шлюзунун пайда болорун чечет. Анан ички тармакты окуңуз, анткени экинчи маршрут ошол жерде турат.

Эки айландырууну байкаңыз

Коомдук да, жеке да NAT шлюздары жумуш жүгүнүн жеке IPv4 булагын NAT шлюздун өзүнүн жеке IPv4 дарегине айландырат. Бул биринчи айландыруу түрүнө карабастан болот. Экинчи айландыруу — адамдар унута турган нерсе: коомдук NAT шлюзу трафикти интернет шлюзуна берет, ал даректи тиркелген Elastic IP-ге картага түшүрөт.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Жеке жолдо чынжырда интернет шлюзу жок. Трафик транзиттик шлюз же виртуалдык жеке шлюз аркылуу чыкканда, NAT шлюздары боюнча колдонмо NAT шлюздун жеке дарегин алыс тарап алган булак катары документтештирет. Өнөктөш уруксат бериши керек дарек — ошол, Elastic IP эмес.

VPN жолу адатта жеке даректи көрсөтөт

10.20.1.0/24 ичиндеги жумуш жүгү өнөктөштүн префиксине жеткенде, жумуш жүгүнүн ички тармагынын маршрут таблицасы NAT шлюзуна, ал эми NAT шлюздун ички тармагынын маршрут таблицасы жеке шлюздун жолуна көрсөтөт. Эки секирик тең маанилүү, жана өнөктөш эмнени көрөрүн экинчиси гана чечет. Эгер NAT ички тармагында VPN жолуна маршрут жок болсо, пакет эч качан жетпейт, жана бул туура эмес булак дарегинен башка мүчүлүштүк.

Даректер тууралуу сүйлөшө электе ошол экинчи маршрутту текшериңиз. Жок маршрут жана туура эмес билдирилген булак трафикти жөн гана көрбөй жаткан өнөктөш үчүн бирдей көрүнөт.

Экинчи айландыруу жоопту өзгөрткөндө

AWS ошондой эле транзиттик шлюз тиркемесинде ачык, дал келген бир-бирге NAT картасын сунуштайт. Бул карта алыс кызмат көрө электе булакты дагы бир жолу айландырышы мүмкүн, жана бул жөн гана маршруттаган демейки жүрүм-турум эмес. Аны атайын конфигурациялоо керек болгондуктан, кокустан мураска алган нерсе катары эмес, долбоордук өзгөчөлүк катары караңыз. Эгер командаңызда аны күйгүзгөнүн эч ким эстебесе, тиркемени окуганга чейин аны жок деп эсептеңиз.

Эгер долбооруңуз аны колдонсо, уруксат тизмеси NAT шлюздун дарегин эмес, акыркы картаны сүрөттөшү керек. Ушул эле этияттык жеткиликтүүлүк жолдоруна да тиешелүү: бир нече шлюз дареги катышканда, күтүлгөн булак жыйындысы — биригүү, бир өкүл дарек эмес. Ар бир даректин кайсыл айландырууга тиешелүү экенин жазып коюңуз, анткени теги жок тизмени кийин текшерүү мүмкүн эмес.

Жеке NAT шлюзуна аны интернет шлюзуна багыттоо менен интернет кызматын берүүгө болбойт; AWS мындай трафиктин ыргытыларын документтештирет. Түрүн толук жолдон тандаңыз, талаптагы VPN сөзүнөн эмес.

Өнөктөшүңүз аракет кыла ала турган келишимди жазыңыз

Пайдалуу келишимдин төрт бөлүгү бар: агымдар башталган багыт, өнөктөш көрө турган айландырылган инсандык, ошол инсандык үчүн кайтаруу маршруту жана колдонулуучу коргоо камтылышы. NAT шлюздун агымдары колдоого алынган булак тараптан башталат, ошондуктан бул жеке жумуш жүгүн ачуу үчүн кирүүчү портторду багыттоо кызматы эмес. Муну эрте үнүн чыгарып айтуу ар тарап экинчиси баштады деп ойлогон долбоордук кароону алдын алат.

Айландыруу даректердин капталышынан жеңилдик жана алдын ала айтууга боло турган булак саясатын сатып алат, ал эми өнөктөштүн журналдарында жеке жумуш жүгүнүн инсандыгын жоготосуз. Эгер аудит ар бир жумуш жүгү боюнча таандыкты талап кылса, бул инсандыкты айландырылган булак дарегинен калыбына келтирүүгө аракет кылбастан, колдонмо катмарында сактаңыз.

Анан ар кандай өзгөрүүдөн кийин эки маршрут таблицасын тең кайра текшериңиз, анткени жаңы тиркеме же кайра байланган ички тармак жоопту үнсүз кайра жазат.