Eng EC2 Elastic IP ass net déi privat VPN-Adress vun der Instanz

D'Instanz huet eng privat Adress, d'Elastic IP ass domat associéiert, an eng Route fir déi ëffentlech /32 gëtt an d'VPN dobäigesat an der Hoffnung, datt déi zwee d'selwecht ginn. Si ginn et net. Eng Elastic IP ass eng Iwwersetzung, déi baussen dem Gaascht vum Internet-Gateway gemaach gëtt, um Verkéier, deen den Internetwee hëlt. D'Betribssystem vum Gaascht gesäit déi Adress ni op enger Interface konfiguréiert. Se op eng Tunnel-Interface setzen reproduzéiert d'Iwwersetzung uewendriwwer net an et schaaft eng zweet, widderspréchlech Identitéit fir déiselwecht Maschinn.

Zwou Adressen, eng Instanz

D'Netzwierkinterface vun der Instanz huet eng privat Adress bannent der VPC, an dat ass d'Adress, déi de Gaascht kennt. D'Elastic IP ass mat der selwechter Interface associéiert, awer lieft op der ëffentlecher Säit vun der Mapping.

Alles, wat d'Instanz iwwer den Internet erreecht, kënnt op déi privat Adress iwwersat un. Alles, wat d'Instanz an den Internet schéckt, geet mat der Elastic IP als Quell eraus, nach eng Kéier wéinst där Iwwersetzung.

Bannent dem Gaascht gëtt et eng Adress. Baussen zwou. Dës Asymmetrie erkläert de gréissten Deel vun der Konfusioun an dësem Beräich. De Gaascht kann net konfiguréieren, wat de Gateway iwwersetzt. Hie kann nëmmen op der Adress äntweren, déi hien tatsächlech huet.

Wat den Internet-Gateway tatsächlech mécht

Déi AWS-Dokumentatioun zum Internet-Gateway beschreift d'Arrangement: d'Instanz ass sech bewosst vun hirer privater IPv4-Adress, an de Gateway liwwert déi entspriechend Iwwersetzung op eng ëffentlech IPv4 oder Elastic IP fir de Verkéier um Internetwee.

Dat ass Netzwierkadress-Iwwersetzung, keen Alias. D'Mapping gëtt vum Gateway ënnerhalen, ass un d'Assoziatioun gebonnen a gëllt nëmme fir Paketen, déi duerch et ginn. Huelt d'Assoziatioun ewech an déi ëffentlech Identitéit verschwënnt, ouni datt de Gaascht eppes mierkt.

Dofir gëtt en private VPN-Paket, deen un déi ëffentlech /32 adresséiert ass, net als private Paket op d'lokal Adress vum Gaascht nei interpretéiert. De Paket follegt der Route, déi dozou passt, déi en an den Internet-Gateway schéckt, an d'Verhalen vum Gateway hänkt dovun of, ob de Wee a béid Richtungen erlaabt ass.

Firwat den Trick mat der Tunnel-Interface feelt

D'Elastic IP enger Tunnel-Interface zouweisen freet de Gaascht, eng ëffentlech Adress als lokal ze behandelen. Elo behaapten zwou Saachen déiselwecht Adress: d'Iwwersetzung vum Gateway um Internetwee an déi lokal Interface bannent dem Tunnel. De Réckverkéier huet keng konsequent Äntwert drop, wéi eng gëllt.

Och wann et schéngt ze funktionéieren, huet den Design déi richteg Fro verstoppt. D'Cliente kommen entweder iwwer den Tunnel op déi privat Adress oder iwwer den Internet op de ëffentlechen Endpunkt, an déi zwee Weeër hunn ënnerschiddlech Sécherheetsgruppen, ënnerschiddlech Logging an ënnerschiddlech Fehlermodusen.

D'Adress war ni de Problem. D'Wiel vum Wee war et.

Dräi Ziler, dräi Designen

Wann d'Zil en ëffentlechen VPN-Endpunkt ass, ass d'Elastic IP dat richtegt Instrument: wäit Peer verbannen sech iwwer den Internet domat, an den verschlësselten Transport endegt op der Instanz. Den internen Applikatiounsverkéier benotzt duerno déi privat Adress.

Wann d'Zil private Zougang zu der Applikatioun ass, ass d'Destinatioun déi privat Adress oder en private DNS-Numm, deen dohinner opléist, an d'VPN-Route, d'Sécherheetsgrupp an de Réckwee mussen all iwwerenee stëmmen. D'Elastic IP kënnt an deem Design iwwerhaapt net vir.

Wann d'Zil eng stabil ëffentlech Ausgangsidentitéit fir VPN-Benotzer ass, ass dat en NAT-Design op der Ausgangssäit, keng Adress um Tunnel vum Client. Dräi Ziler, déi ähnlech kléngen, ginn dräi verschidde Diagrammer, an nëmmen ee vun hinnen enthält eng Elastic IP op enger neier Plaz.

Iwwerpréift de Wee, deen Dir gewielt hutt

Fir private Zougang, bestätegt datt d'VPN-Route de private Prefix deckt, datt d'VPC-Routentabelle de Verkéier an den Tunnel zréckschéckt, datt d'Sécherheetsgrupp d'Quell vum Client erlaabt an datt d'Firewall vum Client d'Äntwert erlaabt. Test dann eng richteg Ufro amplaz vun engem Ping.

Fir ëffentlechen Zougang, bestätegt den Internet-Ausgang vum Client, d'Routing vum ëffentlechen Agang an seng Sécherheetspolitik. Ob e VPN-Client en ëffentlechen Endpunkt duerch den Tunnel erreeche kann, hänkt vun den Ausgangs- a Firewallregele vum Tunnel of, net vun der Associatioun mat der Elastic IP.

Wann en ëffentlechen Hostnumm vun béide Säite misst funktionéieren, benotzt en DNS-Design, dee mat der privater Adress fir VPN-Cliente a mat der ëffentlecher Adress fir all déi aner äntwert, an haalt d'Zertifikat gülteg fir den Numm amplaz fir d'Adress. Uerdnung vun der Aarbecht: nennt d'Zil, wielt d'Adress déi dozou gehéiert, a verifizéiert dann Routen, Politik an eng Ufro.