LAN hannert enger AWS Client VPN-Sessioun: wat weidergeleet gëtt

De Laptop verbënnt sech mam AWS Client VPN-Endpunkt, erreecht de private Subnetz, an alles gesond aus. Den Desktop am selwechten LAN erreecht näischt, obwuel den Linux-Host och eng Bridge-Schnittstell huet an déi zwou Maschinnen um selwechte Kabel sinn. Am Tunnel ass näischt falsch konfiguréiert; de fehlenden Deel ass Routing, an d’Bridge ass eng falsch Spuer.

Eng Client VPN-Sessioun op e LAN auszedehnen ass eng Gateway-Roll. Et ass kee Ethernet-Segment, deen an en verwalteten Service gezunn gëtt.

Den Host funktionéiert an de LAN net

D’Tunnelschnittstell op der Linux-Këscht huet eng Adress bannent dem CIDR vum Client VPN-Client, an den Endpunkt huet Route fir d’VPC-Bereicher gestouss. Eng Ufro op där Këscht ass lokal generéierten Trafick: en wielt eng Route, geet duerch den Tunnel eraus a kritt eng Äntwert. Dee Wee beréiert ni de Weiderleitungscode, d’LAN-Schnittstell oder eng Firewall-Reeg, déi den Transit regléiert.

Trafick vun engem aneren LAN-Apparat ass en anere Floss. En kënnt op d’LAN-Schnittstell un, brauch eng Route déi an den Tunnel weist, brauch aktivéiert Weiderleitung, brauch eng Firewall déi en erlaabt, a brauch datt d’Äntwert duerch deen selwechten Host zeréckkënnt. Véier Ufuerderungen, an den funktionéierende Laptop-Test beweist keng dovun. Vum Desktop aus gesäit de Feeler bizarr aus: den Tunnel ass uewen, d’Identitéite si gülteg, an d’Zil äntwert einfach ni. De Defekt ass lokal am Weiderleesungswee vum Gateway, net am Service.

Net all Client kann en Gateway sinn

AWS seet, datt seng Client VPN-Desktop-App d’IP-Weiderleitung net ënnerstëtzt, an datt aner Clienten et kéinten. Dës Restriktioun entscheet d’Architektur, ier en Uerder getippt gëtt. Wann deen eenzegen verfügbaren Client déi offiziell Desktop-App ass, ass en Linux-Gateway dee fir de LAN weiderleet keng Konfiguratioun, déi Dir fäerdeg maache kënnt, a keng Quantitéit Masquerading ännert dat.

Den Ersatz-Client muss och zur Authentifizéierungsmethod vum Endpunkt a zur Politik passen, déi Dir wëllt ëmsetzen. Endpunkten op Basis vu Certificaten, Verzeechnes a SAML akzeptéieren net déi selwecht Client-Konfiguratiounen, an en Drëttubidder-Client, dee sech authentifizéiert awer déi gestouss Route ignoréiert, ass keng Verbesserung.

Behandelt d’Client-Wiel als Deel vun der Design-Iwwerpréiwung. Se entscheet, ob de LAN-Weiderleesungsmuster iwwerhaapt verfügbar ass, a se entscheet, wéi eng Identitéit den Endpunkt fir all Apparat hannert dem Gateway gesäit. Dokumentéiert den Client an d’Endpunkt-Konfiguratioun, géint déi en getest gouf. En Client-Wiessel sechs Méint méi spéit kann d’Fähegkeet, déi d’Design ugeholl huet, stëll entsuergen.

Leet de LAN an den Tunnel an iwwersetzt en

Mat engem ënnerstëtzten Client op der Plaz ass de Rescht gewéinlech Gateway-Aarbecht. D’LAN-Apparater brauchen eng Route fir de VPC-Bereich déi op den Linux-Host weist, an den Host brauch aktivéiert Weiderleitung. Wann Dir wëllt datt de VPC den Trafick als verbonnenen Client gesäit an net als eng arbiträär LAN-Adress, iwwersetzt d’Quell um Ausgang.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Beschränkt d’Reeg op d’Tunnelschnittstell an de VPC-Bereich, wéi uewen, amplaz alles ze masquerade wat den Host weiderleet. Déi méi enk Reeg ass méi einfach ze iwwerleeën, an se ännert net stëll Trafick, deen seng ursprénglech Quelladress sollt behalen.

Loosst d’LAN-Route automatesch kommen wann Dir kënnt: eng DHCP-Optioun, eng Router-Annonce oder eng statesch Route déi vun deem gestouss gëtt, wat de LAN verwalt. Eng Route déi nëmmen op enger Testmaschinn existéiert, mécht d’Design deementspriechend futti ze gesinn, grad wéi een aneren et probéiert.

D’Äntwert brauch och ee Wee

Soubal d’Ufro den VPC erreecht, muss d’Äntwert duerch déi selwecht Iwwersetzungszoustänn zeréckkommen an d’LAN-Route um Gateway fannen. Dee Deel funktionéiert normalerweis wann d’Masquerade-Reeg op der Plaz ass, well d’Mapping um Host lieft, deen se gemaach huet. Et geet futti wann d’VPC-Säit eng Route huet déi d’Äntwert soss wouhi schéckt, an dofir sinn souwuel d’Client-CIDR-Route wéi och d’Subnetz-Zouuerdnung um Endpunkt wichteg.

Kuckt op d’Comptoiren, net nëmme op de Ping. Eng Masquerade-Reeg mat null Paketen seet Iech, datt d’Ufro ni d’Tunnelschnittstell erreecht huet, wat zeréck op d’LAN-Route oder op d’Routingtabell vum Client selwer weist. Eng Reeg mat Paketen awer ouni Äntwerten weist op d’VPC-Säit, op d’Autorisatiounsregelen oder op eng Sécherheetsgrupp déi d’iwwersat Quell net akzeptéiert. Liest béid Richtungen ier Dir eppes ännert, well eng Zuel déi nëmmen op enger Säit wiisst ass en Eenwee wee an keen luesen.

Denkt drun datt den Endpunkt en verwaltete Service ass. Et gëtt keng Server-Konfiguratiounsdatei ze änneren a keng client-config-Direktiv bäizesetzen, dofir ginn Instruktioune fir ee selbstverwalteten OpenVPN-Server mat eegene Client-Subnetz-Routen net iwwer. Bei AWS sinn d’Hief Subnetz-Zouuerdnung, Autorisatiounsregelen an d’Routingtabellen vum VPC.

Gedeelte Identitéit ass deen Deel, op deen d’Politik muss äntweren

Jeden Apparat hannert dem Gateway benotzt d’VPN-Sessioun vum Gateway. D’Autorisatiounsregele vum Endpunkt ginn engem Benotzer oder enger Grupp Zougang, an aus der Siicht vum Service gëtt et genee ee Benotzer an där Sessioun. Lokal Weiderleitung multiplizéiert dës Identitéit net an eng Authentifizéierung pro Apparat, an se erweidert d’Apparat-Posture-Préifungen net op den Drécker an der Eck.

Dat kann akzeptabel sinn, oder et kann de Grond sinn firwat d’Design verworf gëtt. Et hänkt dovun of wat d’VPC-Ressourcen iwwer dee uhuelt dee sech mellt. Eng gedeelt Identitéit déi zum Autorisatiounsmodel passt ass gutt; eng déi stëll eng eenzeg authentifizéiert Sessioun an Zougang zum ganze LAN ëmwandelt ass eng Feststellung déi drop waart geschriwwen ze ginn.

Wann d’Ufuerderung wierklech ass e ganze Site un e VPC unzebannen, vergläicht en ënnerstëtzten Site-zu-Site-Design ier Dir e Fernzougangs-Client erweidert. D’Semantik ass anescht, an eng NAT-iwwersat Client-Sessioun ass en aarme Ersatz fir eng Site-Verbindung wann de VPC Verbindungen an de LAN muss initiéieren.

Entscheet de Client, d’Route, d’Iwwersetzung an d’Identitéitsgeschicht an där Rei. Jiddwereen schränkt deen nächsten an, an d’Rei erkläert firwat den Host funktionéiert wärend de LAN net.