EC2 Elastic IP nėra privatusis instancijos VPN adresas

Instancija turi privatų adresą, Elastic IP yra su juo susietas, o maršrutas tam viešajam /32 pridedamas prie VPN tikintis, kad abu taps tuo pačiu. Netampa. Elastic IP yra vertimas, atliekamas už svečio ribų, interneto tinklų sietuvu, sraute, kuris eina interneto keliu. Svečio operacinė sistema niekada nemato šio adreso sukonfigūruoto sąsajoje. Jo pridėjimas prie tunelio sąsajos neatkuria aukštesniojo vertimo ir sukuria antrą, prieštaringą tapatybę tai pačiai mašinai.

Du adresai, viena instancija

Instancijos tinklo sąsaja turi privatų adresą VPC viduje, ir tai yra adresas, kurį svečias žino. Elastic IP susietas su ta pačia sąsaja, bet gyvena viešojoje atvaizdavimo pusėje.

Viskas, kas pasiekia instanciją per internetą, atvyksta išverstas į privatų adresą. Viskas, ką instancija siunčia į internetą, išeina su Elastic IP kaip šaltiniu, vėl dėl to vertimo.

Svečio viduje egzistuoja vienas adresas. Išorėje – du. Ši asimetrija paaiškina didžiąją dalį painiavos šioje srityje. Svečias negali sukonfigūruoti, ką verčia sietuvas. Jis gali atsakyti tik tuo adresu, kurį iš tikrųjų turi.

Ką iš tikrųjų daro interneto tinklų sietuvas

AWS interneto tinklų sietuvo dokumentacija aprašo išdėstymą: instancija žino savo privatų IPv4 adresą, o sietuvas suteikia atitinkamą viešo IPv4 arba Elastic IP vertimą srautui interneto kelyje.

Tai tinklo adresų vertimas, o ne pseudonimas. Atvaizdavimą prižiūri sietuvas, jis susietas su asociacija ir taikomas tik paketams, kurie jį praeina. Pašalinkite asociaciją ir viešoji tapatybė dingsta svečiui nieko nepastebėjus.

Štai kodėl privatus VPN paketas, adresuotas viešajam /32, nėra interpretuojamas iš naujo kaip privatus paketas svečio vietiniam adresui. Paketas seka maršrutą, kurį atitinka, o šis nukreipia jį į interneto tinklų sietuvą, ir sietuvo elgsena priklauso nuo to, ar kelias leidžiamas abiem kryptimis.

Kodėl tunelio sąsajos gudrybė nepavyksta

Elastic IP priskyrimas tunelio sąsajai prašo svečio viešą adresą traktuoti kaip vietinį. Dabar du dalykai pretenduoja į tą patį adresą: sietuvo vertimas interneto kelyje ir vietinė sąsaja tunelio viduje. Grįžtančiam srautui nėra nuoseklaus atsakymo, kuris galioja.

Net kai atrodo, kad tai veikia, dizainas paslėpė tikrąjį klausimą. Klientai pasiekia arba privatų adresą per tunelį, arba viešą galinį tašką per internetą, o šie du keliai turi skirtingas saugos grupes, skirtingą registravimą ir skirtingus gedimo režimus.

Adresas niekada nebuvo problema. Kelio pasirinkimas buvo.

Trys tikslai, trys dizainai

Jei tikslas yra viešas VPN galinis taškas, Elastic IP yra tinkama priemonė: nuotoliniai partneriai jungiasi prie jo per internetą, o šifruotas transportas baigiasi instancijoje. Tada vidinis programos srautas naudoja privatų adresą.

Jei tikslas yra privati prieiga prie programos, paskirties vieta yra privatus adresas arba privatus DNS vardas, kuris į jį išsprendžiamas, o VPN maršrutas, saugos grupė ir grįžimo kelias turi visi sutapti. Elastic IP tame dizaine visai nefigūruoja.

Jei tikslas yra stabili vieša išėjimo tapatybė VPN naudotojams, tai NAT dizainas išėjimo pusėje, o ne adresas kliento tunelyje. Trys panašiai skambantys tikslai duoda tris skirtingas diagramas, ir tik viena jų apima Elastic IP pastatymą naujoje vietoje.

Patikrinkite pasirinktą kelią

Privačiai prieigai patvirtinkite, kad VPN maršrutas apima privatų priešdėlį, VPC maršrutų lentelė grąžina srautą į tunelį, saugos grupė leidžia kliento šaltinį, o paties kliento ugniasienė leidžia atsakymą. Tada išbandykite vieną tikrą užklausą vietoj ping.

Viešai prieigai patvirtinkite kliento interneto išėjimą, viešos įėjimo vietos maršrutizavimą ir jos saugos politiką. Ar VPN klientas gali pasiekti viešą galinį tašką per tunelį, priklauso nuo tunelio išėjimo ir ugniasienės taisyklių, o ne nuo Elastic IP asociacijos.

Jei viešas pagrindinio kompiuterio vardas turi veikti iš abiejų pusių, naudokite DNS dizainą, kuris atsako privačiu adresu VPN klientams ir viešu adresu visiems kitiems, ir laikykite sertifikatą galiojantį vardui, o ne adresui. Darbo tvarka: įvardykite tikslą, pasirinkite jam priklausantį adresą, tada patikrinkite maršrutus, politiką ir vieną užklausą.