VGW oder TGW? Wou de IPsec-Tunnel vun AWS Site-to-Site ophält

D'Leit froen, wou eng AWS Site-to-Site VPN ophält, de Pak ze schützen, an erwaarden eng eenzeg Äntwert: um Gateway. Déi nëtzlech Versioun vun där Äntwert nennt, wéi ee Gateway, well e virtuelle private Gateway an en Transit-Gateway verschidde Strukture mat verschiddenen Attachement-Objete sinn, an deen, dee sech ënnersicht an dat falscht unhëlt, baut de Rescht vun der Bewäertung op engem Diagramm op, dat et net gëtt. Maacht déi dräi Kontrollen hei drënner an der Rei. Jiddereen entweder bestätegt d'Grenz oder seet Iech, datt déi vireg Äntwert vun engem anere Ressource war.

Nennt déi dräi Endpunkten, ier Dir eppes bewäert

Eng Verschlässelungs-Iwwerpréiwung vun dësem Wee brauch dräi genannte Saachen: de Client-Gateway, d'AWS VPN-Zil, dat IPsec ophält, an den Endpunkt vun der Applikatioun, dee de bannenzege Pak kritt. Schreift se mat hire Ressource-Identifikatoren op, ier Dir eng eenzeg Konsolsäit opmaacht, well alles no dësem Punkt eng Ausso iwwer eng vun deenen dräi ass.

De Client-Gateway ass Ären, an seng Konfiguratioun ass fir Iech sichtbar. D'AWS-Zil ass eng verwalt Ressource, an de Feeler ass, se unzehuelen: eng VPN-Verbindung kann un e virtuelle private Gateway oder direkt un en Transit-Gateway ugeschloss ginn, an keen zwee bedeit dat anert. Den drëtten Endpunkt ass deen, deen d'Leit iwwersprangen, an et ass deen eenzegen, deen déi richteg Fro iwwer Applikatiounsdate beäntwert.

Kontroll 1: wéi ee Gateway den Tunnel tatsächlech ophält

Béid Strukture ginn ënnerstëtzt an den Architektur-Guide vum Site-to-Site VPN beschreift se niewenteneen, also frot d'API amplaz vun engem Diagramm, dat dacks ee Joer al ass. Eng reng Liesufro op enger Verbindung gëtt d'VPN-Zilfelder zréck:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Den Ënnerscheeder ass TransitGatewayId, net VpnGatewayId. Eng Verbindung mat engem eidele TransitGatewayId hält op engem selbstännege virtuelle private Gateway op, wärend eng Verbindung mat gesaten Feld op engem VPN-Attachement vum Transit-Gateway ophält, an VpnGatewayId kann an deem Fall nach gefëllt sinn, well et de stäipende Gateway vum Attachement nenne kann. Liest fir d'éischt d'TGW-Feld an da bestätegt den Typ vum Attachement aus der Attachementslëscht an net aus engem Feldnumm, well en VPC-Attachement op deem Transit-Gateway net d'VPN-Attachement ass. D'Zilinstanz an enger ugeschlossener VPC ze fannen seet Iech näischt doriwwer, wéi ee VPN-Attachement de Pak gedroe huet.

Wärend Dir do sidd, kontrolléiert d'Tunnelen. D'Verbindung dréit zwee IPsec-Tunnelen fir Redundanz, an eng Verbindung, deenen hiren zweeten Tunnel ni opkomm ass, ass e richtege Feststellung fir d'Disponibilitéit, och wann et un der Verschlässelungsgrenz näischt ännert:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Kontroll 2: wat de bannenzege Pak nach dréit

Soubal IPsec ophält, weiderleet AWS de entkapselte Pak iwwer de Wee, deen deem entsprach huet. Vun deem Punkt un ass den Trafic normale VPC-Trafic, an de Schutz vun der VPN ass eriwwer. Dat ass keng Lach am Service; dat ass d'Bedeitung vun der Grenz, an de Punkt vun der Checkliste ass, et kloer ze soen, amplaz ze loossen, datt "d'VPN ass verschlësselt" fir "d'Date si vum Enn bis zum Enn verschlësselt" steet.

Kuckt elo, wat bannen war. Wann de bannenzege Pak en Applikatiounsprotokoll am kloeren Text ass, füügt näischt flossopwärts Vertraulechkeet derbäi, bis eppes anescht en verschlësselt. Wann de bannenzege Pak schonn eng TLS-Sessioun dréit, ännert d'Ewechhuele vum baussenzege IPsec näischt un där Sessioun: se bleift geschützt bis zu hirem eegenen Endpunkt, wou deen Endpunkt och ëmmer ass.

Déi heefeg Iwwerkorrektur ass, ze schléissen, datt alles hannert dem Gateway opgedeckt ass. Dat ass et net. Service-Transport, Stockage-Verschlësselung an Applikatiouns-TLS si getrennte Mechanisme mat getrennte Konditiounen, an all eenzel muss no senge eegene Konditioune bewäert ginn, amplaz aus der Form vun der VPN ofgeleet ze ginn. En Andrag am Flow-Log, deen ACCEPT weist, beweist, datt d'Routing funktionnéiert huet, a seet näischt iwwer Vertraulechkeet, wat genee de Feeler ass, deen dës Checkliste verhënnere soll.

Kontroll 3: wat TLS hannert dem Gateway ophält

Follegt dem Lauschterer, net der Adress. Wann e Loadbalancer oder Proxy TLS ophält, dann ass d'Verbindung, déi Äre Client hält, do eriwwer, an de Proxy mécht eng zweet Verbindung zum Backend op, déi kloeren Text ka sinn oder TLS mat enger anerer Vertrauensketten. Eng privat IP-Adress an e passende Wee si keng Beweis iwwer déi zweet Verbindung.

Testt den Endpunkt, deen Iech wierklech wichteg ass, vun bannen an der VPC, mam Numm, deen d'Applikatioun benotzt, an net mat enger IP, déi Dir eng Kéier opgeléist hutt:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Widderhëlt dat fir all Hopp, duerch deen d'Ufro geet. Wann d'Äntwert tëschent dem clientsgeriichteten Numm an dem Backend-Numm ënnerscheet, hutt Dir genee de Segment fonnt, deen d'VPN ni ofgedeckt huet, an dat ass d'Feststellung, déi opgeschriwwe muss ginn.

Hält d'Resultat als Segmenter fest, net als Urteil

D'Ausgab vun dëser Checkliste ass eng kleng Tabell mat enger Zeil pro Segment: Client-Gateway bis AWS VPN-Zil, Gateway bis Aarbechtslaascht, Aarbechtslaascht bis Datespäicher, an all Proxy-Hopp dertëschent. All Zeil seet, wat se schützt an wouvun dëse Schutz ofhänkt. "Verschlësselt" ouni Mechanismus an ouni Endpunkt ass keng Zeil.

Äntwert dann op déi ursprénglech Fuerderung mat deene selwechte Begrëffer, mat deene se gestallt gouf. Wann d'Fuerderung ass, datt d'Date vertraulech bleiwen, bis d'Aarbechtslaascht se kritt, erfëllt d'VPN nëmmen dat éischt Segment, an déi aner Zeilen brauchen Applikatiounstransport, Service-TLS oder Stockage-Verschlësselung, déi getrennt konfiguréiert a geprüft ginn.

Hält d'Verbindungsidentifikatoren, d'Tunnelzoustänn an d'Zertifikatssujeten am Register. Wann een a sechs Méint op den Design zréckkënnt, beäntwerten déi dräi Artefakte d'Grenzfro an e puer Minutten, amplaz d'Diskussioun vun engem Diagramm aus nach eng Kéier unzefänken.