Эмнеге EC2 сиздин AWS Client VPN ноутбукуңузга жете албайт
Client VPN IPv4 кардар булактарын акыркы чекиттин интерфейсине которот. Ошондуктан жооп иштейт, ал эми EC2ден жаңы туташуу иштебейт.
AWS Client VPN аркылуу туташкан ноутбук EC2 колдонмосуна эч кандай кыйынчылыксыз жетет. Андан соң тескерисин сынап көрөсүз, EC2ден кардарга берилген дарекке, жана туташуу илинип калат же четке кагылат. Бул асимметрия сейрек коопсуздук тобунун жетишпеген эрежеси болот. VPC ички тармактарына байланган Client VPN акыркы чекитинде AWS IPv4 кардар булактарын акыркы чекиттин тармактык интерфейсине которот, ошондуктан ноутбукуңузду билдирген кирүүчү VPC дареги жок.
Тартуу көрсөткөн нерседен баштаңыз
Кардар туташып жатканда EC2 хостунда тартуу жасап, колдонмо чындап көргөн баштапкы даректи окуңуз. Эгер ал кардар пулунан дарек эмес, VPC тараптагы акыркы чекиттин интерфейси болсо, бир эрежени да өзгөртпөстөн которуу тастыкталат.
Кардар пулу – бөлүштүрүү диапазону, кайтаруу маршруту бар ички тармак эмес. Ушул айырмада ушундай изилдөөлөрдүн көбү жаңылышат.
Асимметрияны түшүндүргөн которуу
Үч агымды бири-бири менен алмаштырышат, жана алардын бирөө гана адамдар текшерип жаткан агым.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Client VPN компоненттеринин сүрөттөмөсү IPv4 кардар булактары акыркы чекиттин интерфейсине которуларын так айтат, бул ортонку саптын эмнеге салыштырар эч нерсеси жок экенин көрүүгө жетет.
Жаңы туташууга маршрут, даректи чечүү кадамы жана уруксат чечими керек. Башка бирөөнүн сессиясындагы которуу абалы бул үчөөнүн бирин да бербейт.
Эмнеге жооп жаңы туташуу эмес
TCP жообу учурдагы жазуу менен салыштырылат, ошондуктан кайтаруу жолу кирүүчү эрежесиз эле иштейт. EC2 хосттон келген жаңы SYN салыштырар жазуу таппайт, ошондуктан VPC кантип жетүүнү билбеген дарекке карай кадимки чыгуучу аракетке айланат.
Ошондуктан муну бир гана багытта жүргөн трафик деп сүрөттөө адаштырат. Бул сессияларда кайтаруу трафиги тынымсыз агат. Жолу жок бөлүгү – башталыш.
Иштеши керек болгон сессияны дагы эмне бузат
Коопсуздук топтору, тармактык ACL'дер жана ноутбуктун өз firewall'ы – ийгиликтүү болушу керек туташуулар үчүн баары маанилүү. Ийгиликсиз ping эң аз айтат, анткени ICMP саясаты сизди кызыктырган TCP саясатынан көп учурда өзүнчө.
Бул эрежелерди которулган булакка карай жазыңыз, кардар дарегине карай эмес. Тармакта эч качан көрүнбөгөн дарекке байланган эрежелер – бул долбоордогу эң көп жолугуучу өзү келтирген бузулуу.
VPC чындап эле сүйлөшүүнү баштоого тийиш болгондо
Эгер кызмат жумуш станциясына кабарлоого тийиш болсо, багытты тескери буруп, кардарга кызмат жооп берген туруктуу чыгуучу каналды карматууга мүмкүндүк бериңиз. Эгер бүтүндөй алыскы тармак VPCден жеткиликтүү болушу керек болсо, Client VPN муну мурунтан жасайт деп божомолдоонун ордуна өз префикстерин жана кирүү саясатын жарыялаган архитектураны тандаңыз. Кардардан кардарга кирүү – өз маршруту жана уруксат объектилери бар үчүнчү, тарраак учур. Булардын бири да учурдагы акыркы чекиттеги жөн гана белги кутучасы эмес.
IPv4 түшүндүрмөсүнүн көлөмүн да ак ниет менен кармаңыз. Азыркы AWS документтери IPv6ны, анда бул которуу колдонулбайт, жана башкача маршруттаган башка туташуу моделдерин бөлөт.
Үч белгиленген кадамда сынаңыз: кардар уруксат берилген сессияны ачат, VPC кызматы ошол сессияга жооп берет, жана VPC хост кардарга карай жаңы сессия ачат. Биринчи экөөнүн ийгиликтүү болуп, үчүнчүсүнүн ийгиликсиз болушу – бул долбоордун күтүлгөн формасы, firewall эрежелери менен кууп жүрүүчү кемчилик эмес.