AWS Client VPN su padalytu tuneliu: kuriuos maršrutus skelbti

Konsolė siūlo padalyto tunelio jungiklį, todėl sprendimas atrodo kaip žymimasis langelis. Tai ne. Tai, kas iš tikrųjų pasiekia klientą, yra paskelbtas galinio taško maršrutų rinkinys, ir šis sąrašas nusprendžia, kurie privatūs prefiksai naudoja tunelį, ar bendras interneto srautas lieka vietinis, ar išeina per AWS, ir su kuriuo resolveriu klientas dar gali kalbėtis. Trys klausimai nulemia dizainą, ir į kiekvieną galima atsakyti blogai, kol ryšys vis dar pavyksta.

Padalyto tunelio vėliavėlė nėra paskirties vietų sąrašas

AWS apibūdina padalytą tunelį kaip galinio taško maršrutų pridėjimą prie kliento maršrutų lentelės užmezgant ryšį. Privataus VPC maršrutas apriboja tunelį ta paskirties vieta; visa kita eina įprastu kliento keliu. Numatytasis maršrutas yra kita instrukcija su kitu poveikiu, todėl padalyto tunelio dokumentacija perspėja neskelbti 0.0.0.0/0 galiniame taške, sukonfigūruotame šiam režimui: tai paprastai nutraukia ryšį, o ne jį praplečia. Galinio taško maršrutų lentelė yra politika, o kliento maršrutų lentelė yra rezultatas, kurį galite patikrinti.

Skaitykite galinio taško maršrutų lentelę ir įdiegtus kliento maršrutus kartu. Etiketė apibūdina ketinimą; maršrutai apibūdina, kas vyksta.

Pirmas sprendimas: ar bendras interneto srautas turi likti vietinis?

Jei naršymas turi naudoti paties vartotojo ryšį, skelbkite tik tuos privačius tikslus, kurių reikia darbui, ir sustokite ten. Nepridėkite interneto maršruto todėl, kad viso tunelio vadovas vieną turėjo, ir nemanau, kad papildomas maršrutas pagerina saugumą. Jis keičia kelią, neprideda politikos ir paprastai kainuoja vėlavimą, kurio neplanavote.

Jei interneto srautas turi išeiti per AWS, sukurkite dokumentuotą interneto prieigos architektūrą: galinio taško maršrutą, autorizacijos taisykles, susieto poskirsnio kelią, saugumo politiką ir veikiantį aukštinį išėjimą. Vien numatytasis maršrutas nieko iš to nesuteikia.

Antras sprendimas: kurie privatūs prefiksai ir kieno autorizacija?

Skelbkite mažiausią tikslų rinkinį, kuris aptarnauja faktinį darbo krūvį, ir patikrinkite, ar kiekvienas susietas poskirsnis gali maršrutizuoti į juos. Galinio taško maršruto tikslas ir poskirsnio VPC maršrutizavimas yra skirtingi sluoksniai, o viename egzistuojantis maršrutas nėra kito įrodymas. Autorizacija vėl atskira: tikslas gali būti pasiekiamas ir vis tiek atmestas, nes kliento grupė neturi taisyklės, kuri jį leistų.

Vienos sėkmingos sesijos išbandymas įrodo vieną kelią. Patikrinkite kiekvieną susietą poskirsnį, nes vėliau pridėtas poskirsnio susiejimas yra būtent ta vieta, kur paprastai slypi trūkstamas maršrutas.

Kai tikslas turi būti pasiekiamas pagal vardą, atkreipkite dėmesį, kad kitas klausimas yra vardų skyrimas, o ne maršrutas.

Trečias sprendimas: kuris resolveris seka tunelį?

Klientas gali gauti DNS serverį, pasiekiamą tik per VPN, ir tas resolveris veikia tik tada, kai jo adresas pats yra autorizuoto maršruto viduje. Patikrinkite abi puses: resolverio adresas seka paskelbtą maršrutą, o serveris atsako į vardus, kurių prašo programa. Užklausa, kuri pavyksta pagal adresą, bet nepavyksta pagal pagrindinio kompiuterio vardą, rodo į vardų suteikimą, o ne į maršrutizavimą, ir tokios būklės tunelio derinimas iššvaisto popietę.

Viešieji vardai turėtų būti sprendžiami taip, kaip prieš prisijungimą, ir tai dar viena priežastis būti tiksliems dėl to, ką skelbiate.

Pakeiskite maršrutų rinkinį, tada patikrinkite abu pasaulius

AWS dokumentuoja, kad maršrutų keitimas padalyto tunelio galiniame taške iš naujo nustato klientų ryšius. Planuokite pakeitimą tai turėdami omenyje: pritaikykite jį, prisijunkite iš naujo per palaikomą klientą ir perskaitykite įdiegtus maršrutus iš naujo, o ne pasitikėkite būsena, pritaikyta prieš redagavimą. Pasenusi pritaikyta būsena yra dažniausia priežastis, kodėl teisingas pakeitimas atrodo sugedęs.

Priimkite dizainą tik tada, kai vienas privatus išteklius ir viena vieša paskirties vieta elgiasi kaip numatyta, pagal vardą ir pagal adresą, tose adresų šeimose, kurias iš tikrųjų palaikote. Tunelis, kuris autentifikuoja, nėra tas pats, kas tunelis, kuris teisingai padalija.

Įrašykite maršrutų sąrašą į runbook šalia pagrindimo, kad kitas žmogus galėtų atskirti tyčinį išskyrimą nuo pamiršto.