Wéi eng Quell-IP benotzt eng AWS NAT-Gateway Richtung VPN?

Dir opmaacht d’VPC-Konsol, well e Partner gefrot huet, wéi eng Quellrange iwwer d’Site-to-Site-VPN ukommt. D’Säit NAT-Gateways weist eng ëffentlech Gateway mat enger ugehängter Elastic IP, an d’Versuchung ass, déi Adress ze schécken an ze weiderzefueren. Et ass déi richteg Äntwert fir den Internetwee an déi falsch Äntwert fir de VPN-Wee, an den Ënnerscheed ass, op wéi eng Gateway d’Routentabell weist. Gitt d’Route duerch, ier Dir d’Allowlist schreift.

Fänkt op der Säit NAT-Gateways un, net op der Allowlist

D’Säit NAT-Gateways seet Iech de Subnet, den Typ an d’Elastic IP, an déi dräi Felder duer fir unzefänken. Wat se net seet, ass de Wee, deen de Verkéier duerno hëlt. Dat kënnt aus den Routentabellen, déi um Subnet vun der NAT-Gateway hänken.

Liest als éischt den Typ, well ëffentlech oder privat entscheet, ob spéider eng Internet-Gateway an der Kette opdaucht. Liest duerno de Subnet, well do déi zweet Route läit.

Follegt den zwou Iwwersetzungen

Souwuel ëffentlech wéi och privat NAT-Gatewayen iwwersetzen d’privat IPv4-Quell vun der Aarbechtslaascht an déi eegen privat IPv4-Adress vun der NAT-Gateway. Déi éischt Iwwersetzung geschitt onofhängeg vum Typ. Déi zweet Iwwersetzung ass déi, déi een vergësst: eng ëffentlech NAT-Gateway gëtt de Verkéier un d’Internet-Gateway weider, déi d’Adress op déi ugehängt Elastic IP abilt.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Op dem private Wee gëtt et keng Internet-Gateway an der Kette. Wann de Verkéier iwwer eng Transit-Gateway oder eng virtuell privat Gateway erausgeet, dokumentéiert den Leitfueden zu NAT-Gatewayen déi privat Adress vun der NAT-Gateway als Quell, déi déi wäit Säit kritt. Dës Adress soll de Partner zouloussen, net d’Elastic IP.

De VPN-Wee weist meeschtens déi privat Adress

Fir eng Aarbechtslaascht an 10.20.1.0/24, déi e Partnerprefix erreecht, weist d’Routentabell vum Aarbechtslaascht-Subnet op d’NAT-Gateway, an d’Routentabell vum NAT-Gateway-Subnet weist op de Wee vun der privater Gateway. Béid Spréng zielen, an nëmmen déi zweet entscheet, wat de Partner gesäit. Wann den NAT-Subnet keng Route op de VPN-Wee huet, kënnt de Pak ni un, an dat ass en anere Feeler wéi eng falsch Quelladress.

Iwwerpréift déi zweet Route, ier Dir iwwerhaapt iwwer Adresse schwätzt. Eng fehlend Route an eng falsch gemellt Quell gesinn identesch aus fir e Partner, deen einfach kee Verkéier gesäit.

Wann eng zweet Iwwersetzung d’Äntwert ännert

AWS bitt och eng explizit, passend Een-zu-Een-NAT-Mapping op engem Transit-Gateway-Uschluss un. Dës Mapping kann d’Quell nach eng Kéier iwwersetzen, ier de wäite Service se gesäit, an et ass net dat Standardverhalen, dat just routet. Well se bewosst konfiguréiert muss ginn, behandelt se als Design-Ausnam an net als eppes, wat Dir zoufälleg ierft. Wann kee an Ärem Team sech drun erënnert, se ageschalt ze hunn, gitt dovun aus, datt se feelt, bis Dir den Uschluss gelies hutt.

Wann Ären Design se benotzt, muss d’Allowlist déi endgülteg Mapping beschreiwen an net d’Adress vun der NAT-Gateway. Déiselwecht Virsiicht gilt fir Disponibilitéitsweeër: wa méi Gateway-Adressen Deel huelen, ass dee erwaarten Quellset d’Vereenegung, net eng representativ Adress. Schreift op, zu wéi enger Iwwersetzung all Adress gehéiert, well eng Lëscht ouni Hierkonft spéider net ze audit ass.

En ter privater NAT-Gateway kann een keen Internetservice ginn, andeems een se op eng Internet-Gateway weist; AWS dokumentéiert, datt esou Verkéier verworf gëtt. Wielt den Typ vum ganze Wee, net vum Wuert VPN an der Ufuerderung.

Schreift de Kontrakt, op deen Äre Partner ka reagéieren

Den notzbare Kontrakt huet véier Deeler: d’Richtung, aus där Flëss gestart ginn, d’iwwersat Identitéit, déi de Partner gesäit, d’Réckroute fir déi Identitéit an de Schutzëmfang, dee gëllt. NAT-Gateway-Flëss gi vun der ënnerstëtzter Ursprongssäit aus gestart, also ass dat keen agehende Port-Forwarding-Service fir eng privat Aarbechtslaascht ze entdecken. Dat fréi haart ze soen verhënnert eng Designiwwerpréiwung, an där all Säit ugeholl huet, déi aner hätt ugefaangen.

Iwwersetzung kaaft Entlaaschtung bei Adressiwwerlappung an eng viraussobar Quellpolitik, an et kascht Iech déi individuell Aarbechtslaascht-Identitéit an de Loge vum Partner. Wann d’Audit eng Zouuerdnung pro Aarbechtslaascht brauch, hält déi Identitéit an der Applikatiounsschicht, amplaz ze probéieren, se aus enger iwwersater Quelladress erëmzefannen.

Iwwerpréift duerno béid Routentabellen no all Ännerung, well en neien Uschluss oder en nei associéierte Subnet d’Äntwert stëll ëmschreift.