AWS Client VPN mam Split-Tunnel: wéi eng Route sollt Dir verëffentlechen

D'Konsole bitt en Ëmschalter fir de Split-Tunnel, dofir fillt d'Entscheedung wéi eng Këscht. Ass se net. Wat tatsächlech beim Client ukommt, ass de verëffentlechte Routenset vum Endpunkt, an déi Lëscht entscheet, wéi eng privat Präfixe den Tunnel benotzen, ob den allgemengen Internetstrafic lokal bleift oder iwwer AWS erausgeet, a mat wéi engem Resolver de Client nach schwätze kann. Dräi Froen entscheeden den Design, an op all eenzel kann ee schlecht äntweren, während d'Verbindung nach ëmmer geléngt.

E Split-Tunnel-Flag ass keng Zillëscht

AWS beschreift Split-Tunneling als d'Ajoutéiere vun Endpunkt-Routen an d'Routentabell vum Client beim Opbau vun der Verbindung. Eng Route fir déi privat VPC limitéiert den Tunnel op dës Destinatioun; alles anescht follegt dem normale Wee vum Client. Eng Standardroute ass eng aner Instruktioun mat enger anerer Wierkung, dofir warnt déi Dokumentatioun iwwer de Split-Tunnel dorun, 0.0.0.0/0 op engem Endpunkt ze verëffentlechen, dee fir dëse Modus konfiguréiert ass: dat brécht d'Konnektivitéit éischter wéi se auszebauen. D'Routentabell vum Endpunkt ass d'Politik, an d'Routentabell vum Client ass d'Resultat, dat Dir kontrolléiere kënnt.

Liest d'Routentabell vum Endpunkt an déi installéiert Route vum Client zesummen. D'Etikett beschreift eng Absicht; d'Route beschreiwen, wat geschitt.

Éischt Entscheedung: soll den allgemengen Internetstrafic lokal bleiwen?

Wann d'Browsing d'Verbindung vum Benotzer selwer benotze soll, verëffentlecht nëmmen déi privat Destinatiounen, déi d'Aarbecht brauch, a stoppt do. Füügt keng Internetroute derbäi, well en Tutorial iwwer de ganzen Tunnel eng enthal huet, a gitt net dovun aus, datt déi zousätzlech Route d'Sécherheet verbessert. Si ännert de Wee, si füügt keng Politik derbäi, a si kascht meeschtens eng Verzögerung, déi Dir net agerechent hat.

Wann den Internetstrafic iwwer AWS erausgoe soll, baut déi dokumentéiert Internetzugriffsarchitektur: Endpunktroute, Autorisatiounsregelen, de Wee vum associéierten Subnet, Sécherheetspolitik an en funktionéierenden Upstream-Ausgang. Eng Standardroute eleng liwwert näischt dovun.

Zweet Entscheedung: wéi eng privat Präfixe, autoriséiert vu wiem?

Verëffentlecht de klengsten Set vun Destinatiounen, déi der tatsächlecher Aarbecht déngt, a kontrolléiert, ob all associéierte Subnet dohinner route kann. D'Routenzil vum Endpunkt an d'VPC-Routing vum Subnet sinn ënnerschiddlech Schichten, an eng Route, déi an enger existéiert, ass kee Beweis fir déi aner. D'Autorisatioun ass erëm separat: eng Destinatioun ka erreechbar sinn an trotzdem refuséiert ginn, well d'Grupp vum Client keng Regel huet, déi se erlaabt.

Eng eenzeg erfollegräich Sessioun ze testen beweist een Wee. Kontrolléiert all associéierte Subnet, well eng Subnetzassociatioun, déi méi spéit derbäikomm ass, genau déi Plaz ass, wou déi fehlend Route meeschtens läit.

Wann eng Destinatioun iwwer den Numm erreechbar musse sinn, beuecht, datt déi nächst Fro d'Nummopléisung ass, net d'Route.

Drëtt Entscheedung: wéi en Resolver follegt dem Tunnel?

E Client ka en DNS-Server kréien, deen nëmmen iwwer de VPN erreechbar ass, an deen Resolver funktionéiert nëmmen, wann seng Adress selwer bannent enger autoriséierter Route läit. Kontrolléiert béid Hallschenten: d'Adress vum Resolver follegt enger verëffentlechter Route, an de Server äntwert op d'Nimm, déi d'Applikatioun freet. Eng Ufro, déi iwwer d'Adress geléngt, awer iwwer den Hostnumm feelt, weist op d'Nummgebung hin, net op d'Routing, an d'Debugge vum Tunnel verschwënnt an deem Fall den Nomëtteg.

Ëffentlech Nimm sollten sou opgeléist ginn wéi virun der Verbindung, wat en anere Grond ass, präzis ze sinn iwwer dat, wat Dir verëffentlecht.

Ännert de Routenset, an dann kontrolléiert béid Welten

AWS dokumentéiert, datt d'Ännere vu Routen op engem Split-Tunnel-Endpunkt d'Clientverbindungen zrécksetzt. Plangt d'Ännerung mat deem am Kapp: setzt se ëm, verbënnt Iech erëm iwwer dee ënnerstëtzten Client a liest déi installéiert Route frësch, amplaz dem Zoustand ze vertrauen, dee virun der Ännerung ugewannt gouf. Veralteten ugewannten Zoustand ass de meescht verbreete Grond, firwat eng korrekt Ännerung futti ausgesäit.

Akzeptéiert den Design nëmmen, wann eng privat Ressource an eng ëffentlech Destinatioun sech béid wéi virgesinn behuelen, nom Numm an no der Adress, an de Adressfamillen, déi Dir tatsächlech ënnerstëtzt. En Tunnel, deen authentifiéiert, ass net datselwecht wéi en Tunnel, deen riichteg deelt.

Schreift d'Routelëscht an de Runbook nieft der Begrënnung, sou datt déi nächst Persoun eng absichtlech Ausloossung vun enger vergiessener ënnerscheede kann.