AWS Client VPN oder e Bastion fir eng Peering-VPC z'erreechen
Béid Weeër funktionnéieren, awer si briechen op verschiddene Plazen. Vergläicht Endpoint-Routen, Retour-Routing an déi dräi Fäll, wou e Bastion déi éierlech Grenz ass.
Een Client VPN-Endpoint kann eng VPC erreechen, déi mat senger associéierter VPC am Peering ass, an Dir braucht kee Bastion, fir dat legitim ze maachen. D'Wiel, déi sech lount, ass wou den Trafic d'Hänn wiesselt: eng Endpoint-Route, déi am Association-Subnet lant an d'Peering-Verbindung iwwerquiert, oder en Host an der Peering-VPC, deen d'Sessioun fäerdeg mécht. Béid Weeër funktionnéieren a si briechen op verschiddene Plazen, also geet et ëm Proprietéit an Audit, net ëm dat, wat AWS erlaabt. Hei ass wéi ech tëschent hinnen auswielen, an déi véier Entréen, déi de geroutete Wee funktionéiere loossen.
Zwee Weeër, een Endpoint, verschidde Propriétären
Op dem geroutete Wee erreecht den Trafic vum Client den Endpoint, gëtt op d'Adress vum Client VPN-Netzwierkinterface am Association-Subnet iwwersat, an hannerléisst dee Subnet iwwer d'Peering-Verbindung vun A op B. VPC B mécht keng VPN-Sessioun fäerdeg; et gesäit gewéinlechen Trafic vun der VPC A, dofir weist seng Retour-Route op VPC A, net op de Client-Pool.
Op dem Bastion-Wee erreecht de Client als éischten en Host. E Bastion an A léisst de leschten Hop nach ëmmer d'Peering-Verbindung iwwerquieren, also behält Dir d'Peering-Aarbecht a füügt eng Sessioun derbäi. E Bastion an B brauch och e Wee vum Client, a wann dee Wee déiselwecht Endpoint-Route ass, hutt Dir de gerouteten Design plus een Hop. De Bastion hëlt nëmmen Aarbecht ewech, wann en schonn existéiert, schonn approuvéiert ass, an dat dohannert eng Sessiounsgrenz amplaz enger Netzwierkgrenz brauch.
Véier Entréen loossen de geroutete Wee funktionéieren
AWS dokumentéiert dëst Szenario op der Client VPN how-it-works-Säit, an an der Praxis geet et ëm véier Entréen, déi zwou oder dräi Teams besëtzen. D'Berecher sinn illustrativ; de Peering-Berech muss eenzegaarteg sinn an de Retour-Berech muss zu Ärem Plang passen.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Route a Berechtegung si getrennte Kontrollen. Eng korrekt Endpoint-Route ouni passend Autorisatiounsregel gëtt dem Client näischt; eng Autorisatiounsregel fir en Zil, dat den Endpoint net route kann, gëtt him e schwaarzt Lach. Béid mussen deeselwechte Berech nennen.
D'Endpoint-Route weist op e Subnet an der eegener VPC vum Endpoint, ni op d'Peering-Verbindung. D'VPC-Routentabellen weisen op d'Peering-Verbindung, ni op eng Instanz oder en Interface. En Wäert tëschent deenen zwee kopéieren gëtt ouni Plainte gespäichert an routeet näischt.
Well den Association-Subnet d'Client-Quell iwwersetzt, muss B zréck op VPC A routen, net op de Client-Pool. De Client-Berech iwwer d'Peering-Verbindung schécke gesäit symmetresch aus, kënnt duerch d'Revue a fällt stomm, well B ni e Pak mat enger Client-Quell gesäit.
Sécherheetsgruppen an de leschte Meter Berechtegung
Routing bréngt Päck an B; B entscheet nach ëmmer. Fir eng aktiv Peering-Verbindung an der selwechter Regioun kann eng Sécherheetsgrupp an B d'Grupp referenzéieren, déi op d'Client VPN-Association ugewannt gëtt, wat d'Regel enk hält an Adressännerungen iwwerlieft. Wou eng Gruppreferenz net méiglech ass, erlaabt de Berech vum Association-Subnet explizit amplaz op 0.0.0.0/0 auszebreeden, wat e Routingfeeler an en onerkläerten Timeout ëmwandelt.
Da kontrolléiert, wat Routing ni beréiert: Netzwierk-ACLen op béide Subnetten, d'Allow-List vun der Applikatioun oder d'Audienz vum Token, an DNS. Peering kopéiert keng privat gehostete Zonen, dofir kann de Laptop eng funktionéierend Route op eng Adress halen, déi en net opléise kann, an eng Peering-Verbindung füügt engem Zertifikat keen Vertrauen derbäi. Richt den Endpoint op e Resolver, deen fir B äntwert, a bestätegt dann, datt den privaten Numm an d'Zertifikat iwwereneestëmmen.
Wéini de Bastion déi éierlech Äntwert ass
Ech halen dräi Ausléiser fir bewosst e Bastion ze wielen. D'Peering-VPC gehéiert engem Team, dat keen Retour-Route fir Äre Berech derbäisetzt oder keng Gruppreferenz akzeptéiert. Den Zougang muss pro Sessioun approuvéiert oder opgeholl ginn an d'Applikatioun kann dat net selwer droen. Oder de leschten Hop muss bannent B bleiwen, well de Service nëmmen do opgeléist gëtt an seng TLS-Identitéit un en internen Numm festgemaach ass.
Näischt vun deem ass en Émgang ëm de Fakt, datt Peering net transitiv ass. Net-Transitivitéit limitéiert, wat Ressourcen an B dierfe maachen: si kënnen A net als Transit an eng drëtt VPC notzen, mat där A am Peering ass. Et huet ni bedeit, datt e VPN-Benotzer eng direkt gepeerte VPC net erreeche kann, an e Bastion, dee gebaut gouf, fir dës falsch Liesung ze ëmgoen, ass en Host, deen ouni Grond patchéiert gëtt.
De ëmgedréinte Feeler kascht mat der Zäit méi: dréckt all Team duerch deen eenzege Bastion, deen et schonn gëtt, a fannt dann eraus, datt seng Sécherheetsgrupp, Routentabell a Patch-Fënster d'Produktiounsabhängegkeet sinn. Schreift op, wéi en Ausléiser den Host déngt, a zitt en zréck, wann den Ausléiser fort ass.
Transit Gateway a méi Associatiounen änneren d'Arithmetik
Wann den Endpoint direkt un en Transit Gateway ugeschloss ass amplaz un e Subnet, ännert sech de Modell: Clienten ginn net méi op eng Interface-Adress an engem Association-Subnet iwwersat, an d'Gateway-Routentabellen mussen de Client-Berech plus d'Uschléissung droen, déi op d'Peering-VPC féiert. Dat ass op Skala méi propper, awer d'Aarbecht plënnert vu véier Entréen an d'Gateway-Routentabellen.
Méi Associatiounen multiplizéieren d'Kontrollen. D'Endpoint-Route gehéiert dem Endpoint, awer all Association-Subnet brauch eng Routentabell mat engem richtege Peering-Nächsthop. Eng Sessioun kann duerch eng Associatioun geléngt, während eng aner kee Retourwee huet, also test jiddwereen.
Iwwerpréifungsuerdnung, déi de Broch séier fënnt
Féiert dës an der Rei aus; all Schrëtt kann duerchgoen, während deen nächsten ausfält, an en Timeout vum Client seet bal ni, wéien gebrach ass.
- Léist den Applikatiounsnumm vum Client op a kontrolléiert, datt d'Adress bannent dem Peering-Berech läit.
- Verbënnt, a liest dann de Verbindungslog vum Endpoint fir d'Associatioun, déi d'Sessioun fäerdeg gemaach huet.
- Op deem Association-Subnet bestätegt, datt d'Routentabell de Peering-Berech op eng aktiv Peering-Verbindung weist.
- Op dem Ressource-Subnet an B bestätegt eng Retour-Entrée fir de Interface-Berech an entspriechend Gruppenregelen.
- Test eng erlaabte Operatioun an eng Ressource, déi onereechbar muss bleiwen; déi zweet fänkt Debug-Reschter op.
- Verbënnt nei nom all Ännerung vun der Split-Tunnel-Route, well en Tunnel dee leeft keen neie Routenset unhëlt.
Zwee Symptomer si wäert sech ze merken. En SYN, deen B ouni Äntwert erreecht, ass bal ëmmer de fehlende Retour-Route. Eng Verbindung, déi fäerdeg gëtt an dann zréckgesat gëtt, ass meeschtens d'Grupp, d'ACL oder d'Applikatioun. Keent vun deenen erschéngt am Endpoint-Log als Ursaach, also haalt déi véier Entréen mat engem Proprietär niewent jiddwerengem.
Wann keen vun den dräi Ausléiser zoutrëfft, fäerdeg de geroutete Wee a schreif déi véier Entréen op. Wann een zoutrëfft, behaal de Bastion just fir déi Grenz a loos d'Endpoint-Route fir Servicer, déi keng Sessioun viru sech brauchen.