Firwat EC2 Ären AWS Client VPN-Laptop net erreeche kann
Client VPN iwwersetzt IPv4-Client-Quellen an d'Netzwierk-Interface vum Endpunkt. Dofir funktionéiert d'Äntwert, awer eng nei Verbindung vun EC2 net.
E Laptop, deen iwwer AWS Client VPN verbonnen ass, erreecht eng EC2-Applikatioun ouni Problemer. Duerno probéiert Dir d'Géigendeel, vun EC2 op d'Adress, déi dem Client zougewisen gouf, an d'Verbindung hänkt oder gëtt refuséiert. Dës Asymmetrie ass selten eng fehlend Regel an enger Sécherheetsgrupp. Op engem Client VPN-Endpunkt, deen u VPC-Subnetze gebonnen ass, iwwersetzt AWS IPv4-Client-Quellen an d'Netzwierkinterface vum Endpunkt, dofir gëtt et keng agehend VPC-Adress, déi Äre Laptop representéiert.
Fänkt mat deem un, wat den Opnam weist
Maacht en Opnam um EC2-Host, während de Client sech verbënnt, a liest d'Quelladress, déi d'Applikatioun tatsächlech gesäit. Wann et d'Endpunktinterface op der VPC-Säit ass an net eng Adress aus dem Clientpool, ass d'Iwwersetzung bestätegt, ier Dir eng eenzeg Regel ännert.
De Clientpool ass en Zouweisungsberäich, keen Subnetz mat enger Réckroute. Genau op dësem Ënnerscheed ginn déi meescht vun dësen Enquête schief.
D'Iwwersetzung, déi d'Asymmetrie erkläert
Dräi Flëss ginn duercherneen geheit, an nëmmen ee vun hinnen ass deen, dee Leit testen.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
D'Beschreiwung vun de Client VPN-Komponenten seet kloer, datt IPv4-Client-Quellen an d'Endpunktinterface iwwersat ginn, wat duerch genuch ass, fir ze gesinn, firwat déi mëttelst Zeil näischt huet fir ze vergläichen.
Eng nei Verbindung brauch eng Route, en Adressopléisungsschratt an eng Autorisatiounsentscheedung. Den Iwwersetzungszoustand aus der Sitzung vun engem aneren bitt keen vun deene dräi.
Firwat eng Äntwert keng nei Verbindung ass
Eng TCP-Äntwert gëtt mat engem existéierende Bäitrag verglach, dofir funktionéiert de Réckwee ganz ouni agehend Regel. En neie SYN vum EC2-Host huet kee Bäitrag fir ze vergläichen, also gëtt et en normale ausgoende Versuch an en Zil, vun deem de VPC net weess, wéi en et erreecht.
Dofir ass et och irreführend, dëst als Verkéier ze beschreiwen, deen nëmmen an eng Richtung geet. De Réckverkéier fléisst an dëse Sitzungen onofbréchlech. Den Deel ouni Wee ass den Ufank.
Wat nach eng Sitzung brécht, déi sollt funktionéieren
Sécherheetsgruppen, Netzwierk-ACLen an d'Firewall vum Laptop selwer si wichteg fir d'Verbindungen, déi solle geléngt. En feelgeschloene Ping seet dat mannst, well d'ICMP-Politik dacks vun der TCP-Politik getrennt ass, déi Iech interesséiert.
Schreift dës Reegele geint d'iwwersat Quell, net d'Clientadress. Reegelen, déi u sou eng Adress gebonnen sinn, déi ni am Netz opdaucht, sinn dee meeschte selwer verursaachten Feeler an dësem Design.
Wéini de VPC wierklech d'Gespréich muss ufänken
Wann engem Service eng Aarbechtsstatioun muss matdeelen, dréit d'Richtung ëm a loosst de Client en duerchgoende ausgoende Kanal halen, op deen de Service äntwert. Wann en ganzt wäit ewecht Netzwierk vum VPC aus erreechbar muss sinn, wielt eng Architektur, déi hir Prefixen an hir Zougriffsrichtlinn publizéiert, amplaz unzehuelen, datt Client VPN dat schonn mécht. Client-zu-Client-Zougriff ass en drëtten, méi schmuelen Fall mat sengen eegene Route- an Autorisatiounsobjekter. Nee vun dësen ass just eng Këscht op dem existéierenden Endpunkt.
Halen och de Beräich vun der IPv4-Erklärung éierlech. Déi aktuell AWS-Dokumentatioun trennt IPv6, wou dës Iwwersetzung net gëlt, an aner Uschlossmodeller, déi anescht routeieren.
Test an dräi markéierte Schrëtt: de Client mécht eng erlaabt Sitzung op, de VPC-Service äntwert op déi Sitzung, an en VPC-Host mécht eng nei Sitzung an de Client. Datt déi éischt zwee geléngen an déi drëtt feelt, ass déi erwaart Form vun dësem Design, net en Defekt, deen ee mat Firewallreegele muss joen.