D'Quell-/Destinatiounskontroll ass eng Paart, net de ganze VPN-Wee
En Instanz dee weiderleet brauch eng AWS-Berechtegung souwéi Linux-Routen a Firewall-Regelen. Kontrolléiert d'Quell-/Destinatiounsvalidéierung op deem Instanz, dee weiderleet.
D'VPN endet op engem EC2-Instanz, dir kënnt d'Tunneladress vun deem Instanz erreechen, an den Trafik, deen duerch et sollt op en aneren private Host goen, verschwënnt. Dat sinn zwou verschidde Prüfungen, an se ze vermëschen kascht Stonnen. Déi éischt freet, ob dir den Instanz erreeche kënnt; déi zweet freet, datt en Trafik fir en Zil weiderleet, dat net säin eegent ass, wat Linux-Weiderleedung, eng Firewall-Politik, eng Route op der anerer Säit an eng Autorisation op AWS-Niveau brauch, déi näischt mam Gaaschtbetribssystem ze dinn huet. Näischt an der Konsole zitt d'Opmierksamkeet op deen Ënnerscheed. D'Symptom gesäit aus wéi e Routingfehler, an et ass et meeschtens net.
Trennt déi zwou Prüfungen, ier dir eppes ännert
Den Access op de Gateway beweist den Tunnel, d'Route op seng Adress an d'Sécherheetsgrupp, déi den Austausch erlaabt. D'Weiderleedung fir en aneren Host beweist näischt dovun: se benotzt eng aner Quelladress, en anert Zil an en Instanz an enger Roll, fir déi e net onbedéngt gebaut gouf. Schreift déi zwou Prüfungen getrennt a notéiert, wéi eng feelt, well d'Korrektur fir all eenzel an enger anerer Konsole läit. En Gateway-Instanz, dee just gebaut gouf fir Tunnelen ze beenden, huet kee Grond, fir eppes anescht weiderzeleeden, an seng Standardwäerter spigelen dat. Dofir brauch déi zweet Prüfung seng eege Konfiguratioun, net eng kleng Upassung un déi éischt.
E Ping, deen op de Gateway funktionéiert, an e Ping, deen op den Host dohannert feelt, ass kee geleeëntleche Problem. Et ass dat erwaart Verhalen vun engem Instanz, deem net gesot gouf, datt en weiderleede darf.
Schreift de Wee op, ier dir eng Astellung beréiert
Notéiert de Client-Präfix, den Instanz oder d'Netzwierk-Schnittstell fir d'Weiderleedung, d'Zil-Subnetz an d'Äntwert-Route. En Antrag an der VPC-Routentabelle, deen op en Instanz weist, konfiguréiert den Betribssystem vum Instanz net fir weiderzeleeden, an e Gaaschtkär mat aktivéierter Weiderleedung schaaft keng VPC-Route. Béid Enner vun där Bezéiung mussen existéieren, an se ginn op verschiddenen Plazen vun Leit mat verschiddenem Zougang editéiert.
Dono iwwerpréift d'Astellung vun der Quell-/Destinatiounskontroll um eigentlechen Weiderleedungs-Komponent, net op all Instanz an der VPC. AWS dokumentéiert firwat en Instanz, deen Trafik fir anerer weiderleet, déi Kontroll deaktivéiert muss hunn, an och firwat d'Astellung eng Entscheedung pro Instanz ass an net en Standard fir déi ganz VPC.
Véier Grenzen, an d'Kontroll ass just eng dovun
Behandelt de Wee als véier Froen a beäntwert se an der Rei. Déi éischt feelend Äntwert ass do, wou d'Aarbecht ass, an keng vun den aneren ersetzt se.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
D'Rei ass wichteg, well d'Kontroll bëlleg ass: Routen si op enger Säit ze gesinn, d'Kontroll ass een eenzegen Attribut, an d'Meenung vum Zil ass meeschtens dat lescht, wat een freet.
D'Iwwersetzung ännert, wéi eng Quell d'Zil gesäit
En gerouteten Design behält d'Quelladress vum Client, dofir brauch d'Zil eng Retourroute op de Client-Präfix. En iwwersaten Design presentéiert dogéint d'Adress vum Gateway, wat déi Fuerderung eliminéiert an se duerch eng Zoustandstabell um Gateway ersetzt. Entscheet no der Architektur, déi dir wëllt, amplaz d'Iwwersetzung dobäizesetzen, well e äänlecht Beispill se benotzt huet an et ausgesinn huet wéi wann et funktionéiert.
Wann dir iwwersetzt, begrenzt d'Regel op de Client-Präfix an d'virgesinn Zil. Wann dir behält, bestätegt, datt déi aner Säit d'Route wierklech kennt, amplaz unzehuelen, datt se eng léieren.
Test vum originelle Client aus, an da behält d'Ännerung
Eng Ufro, déi um Gateway generéiert gëtt, kann geléngt, während eng weidergeleet Ufro feelt, well et eng aner Quell an e anere Weiderleedungsfall ass. Nom gezilten Korrektur widderhielt déi genau Client-zu-Ressource-Prüfung, déi gefeelt huet, vum selwechte Client, a bestätegt, datt d'Äntwert zréckkënnt an net just, datt d'Ufro ukomm ass.
Schlussendlech setzt d'Astellung an d'verwalt Konfiguratioun vum Gateway, sou datt en Ersatzinstanz se kritt. Eng erfollegräich Prüfung, déi vun enger manueller Ausnam ofhänkt, ass eng Prüfung, déi beim nächsten Opbau ofleeft, an deen, dee se fonnt huet, wäert net do sinn, fir sech ze erënneren firwat.