Nutrūkstantis prisijungimas per AWS Client VPN: patikrinkite kiekvieną susietą potinklį

Naudotojas prisijungia, atidaro vidinę programą ir gauna atsakymą; kolega tame pačiame galiniame taške gauna skirtąjį laiką iš identiško nešiojamojo kompiuterio tame pačiame Wi-Fi tinkle. Šis modelis yra client VPN galinio taško, turinčio daugiau nei vieną susietą potinklį, požymis, kai keliai nėra lygiaverčiai. Aš einu per tai nuo konsolės į išorę, nes dvi kortelės nusprendžia, ar verta atlikti likusį tyrimą. Niekas kliento konfigūracijoje to nepaaiškina.

Pradėkite nuo galinio taško ir išvardykite asociacijas

VPC konsolėje atidarykite Client VPN endpoints, pasirinkite galinį tašką ir perskaitykite kortelę Associations. Kiekviena asociacija yra potinklis prieinamumo zonoje, o klientas nusileidžia tame, kurį paslauga pasirenka kuriant ryšį. Užsirašykite potinklių ID ir maršrutų lentelę, kurią kiekvienas iš tikrųjų naudoja, nes šie du sąrašai yra palyginimas, kurį ketinate atlikti.

Jei galinis taškas rodo tik vieną asociaciją, ši teorija neteisinga, o klientas yra geresnis įtariamasis.

Palyginkite galinio taško maršrutų lentelę su kiekviena asociacija

Atidarykite kortelę Route table tame pačiame galiniame taške. Kiekvienas paskirties CIDR ten turi tikslą, o client VPN atveju tikslas yra asociacija, o ne tinklo vartai. AWS reikalauja paskirties įrašo kiekvienam susietam potinkliui, todėl maršrutas, nukreiptas tik į vieną iš jų, padaro prieigą priklausomą nuo to, kur nusileido sesija. Patikrinkite paskirtį, kuri jums tikrai svarbi, tada jos autorizacijos taisyklę, nes maršrutas suteikia kelią, o taisyklė nusprendžia, kas gali juo naudotis.

Kai abu sluoksnius sudėsite į lentelę, gedimą pamatyti nesunku.

Antroji eilutė yra visas defektas daugumoje bilietų. Galinio taško maršrutas yra, todėl niekas nežiūri toliau, o paketas miršta vienu šuoliu vėliau VPC viduje.

Sekite kiekvieną potinklį į jo efektyvią maršrutų lentelę

Potinklis be aiškios maršrutų lentelės asociacijos paveldi pagrindinę VPC lentelę. Skaitykite lentelę, kuri iš tikrųjų galioja, o ne tą, kurios pavadinimas atrodo teisingas, ir lyginkite paskirtį bei tikslą, o ne eilutės žymą.

AWS nutrūkstančio prisijungimo vadovas aprašo tai kaip maršrutų aprėptį visose asociacijose, ir tai yra teisingas modelis. Galinis taškas pristato paketą į potinklį, o to potinklio lentelė vis tiek turi žinoti, kur yra programos tinklas.

Pataisykite trūkstamą eilutę toje lentelėje, kuri jai priklauso. Visos maršrutų lentelės kopijavimas iš veikiančio potinklio taip pat nukopijuoja interneto, įrenginio ir izoliacijos pasirinkimus, kurie niekada nebuvo skirti šiam, ir šis mainas paprastai yra blogesnis už sutrikimą, su kuriuo pradėjote.

Patikrinkite autorizacijos taisykles, tada grįžimo kelią

Autorizacijos taisyklės galioja kiekvienai paskirčiai ir kiekvienai grupei bei vertinamos atskirai nuo maršrutų. Paskirtis, turinti maršrutus visur, bet neturinti taisyklės naudotojo grupei, elgiasi kaip juodoji skylė su sveikai atrodančia maršrutų lentele.

Grįžimo kelias nusipelno tokio pat dėmesio. Peering ryšiui reikia maršruto programos VPC atgal į kliento CIDR, saugos grupių taisyklių, leidžiančių srautą abiejuose galuose, ir tinklo ACL, kurie jo neišmeta. Vienkryptis pasiekiamumas, kai ping veikia, o TCP rankos paspaudimas ne, paprastai rodo į ACL arba saugos grupę, o ne į VPN.

Pačios galinio taško saugos grupės yra asociacijos elastiniuose tinklo sąsajuose, todėl taisyklė, leidžianti programos prievadą iš kliento CIDR, turi būti pritvirtinta prie asociacijos, o ne tik prie egzemplioriaus.

Tikrinkite prisijungdami iš naujo, o ne viena laiminga užklausa

Naudojant split tunnel, galinio taško maršrutai siunčiami, kai ryšys užmezgamas, todėl pakeistas maršrutų rinkinys niekada nepasiekia kliento, kuris lieka prisijungęs. Atsijunkite ir vėl prisijunkite per palaikomą klientą, tada patvirtinkite, kad nauji maršrutai yra įrenginyje.

Galiausiai susiekite ryšių žurnalą su adresu, kurį gavo klientas, ir pakartokite testą tiek kartų, kad patektumėte į daugiau nei vieną asociaciją. Viena sėkminga užklausa po pataisymo įrodo, kad vienas kelias veikia, o bilietas buvo apie kitą.