Kokį šaltinio IP naudoja AWS NAT tarpinė perėja link VPN?

Atidarote VPC konsolę, nes partneris paklausė, koks šaltinio diapazonas atvyks per svetainė į svetainę VPN. NAT tarpinių perėjų puslapyje rodoma vieša perėja su prijungtu Elastic IP, ir pagunda yra nusiųsti tą adresą ir eiti toliau. Tai teisingas atsakymas interneto keliui ir neteisingas VPN keliui, o skirtumas yra tai, į kurią perėją rodo maršrutų lentelė. Pereikite maršrutą prieš rašydami leidžiamų adresų sąrašą.

Pradėkite nuo NAT tarpinių perėjų puslapio, o ne nuo leidžiamų sąrašo

NAT tarpinių perėjų puslapis nurodo potinklį, tipą ir Elastic IP, ir šių trijų laukų pakanka pradžiai. Ko jis nenurodo, tai kelio, kuriuo srautas eina vėliau. Tai kyla iš maršrutų lentelių, prijungtų prie NAT perėjos potinklio.

Pirmiausia perskaitykite tipą, nes vieša ar privati lemia, ar vėliau grandinėje atsiras interneto perėja. Tada perskaitykite potinklį, nes ten yra antrasis maršrutas.

Sekite abi transformacijas

Tiek viešos, tiek privačios NAT perėjos paverčia darbo krūvio privatų IPv4 šaltinį pačios NAT perėjos privačiu IPv4 adresu. Ši pirmoji transformacija vyksta nepriklausomai nuo tipo. Antroji transformacija yra ta, kurią pamirštama: vieša NAT perėja perduoda srautą interneto perėjai, kuri susieja adresą su prijungtu Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Privačiame kelyje grandinėje nėra interneto perėjos. Kai srautas išeina per tranzito perėją arba virtualią privačią perėją, NAT tarpinių perėjų vadovas dokumentuoja NAT perėjos privatų adresą kaip šaltinį, kurį gauna tolimoji pusė. Būtent šį adresą partneris turėtų leisti, o ne Elastic IP.

VPN kelias paprastai rodo privatų adresą

Darbo krūviui 10.20.1.0/24, pasiekiančiam partnerio prefiksą, darbo krūvio potinklio maršrutų lentelė rodo į NAT perėją, o NAT perėjos potinklio maršrutų lentelė rodo į privačios perėjos kelią. Abu šuoliai svarbūs, ir tik antrasis lemia, ką mato partneris. Jei NAT potinklis neturi maršruto į VPN kelią, paketas niekada neatvyks, ir tai kita nesėkmė nei neteisingas šaltinio adresas.

Patikrinkite tą antrąjį maršrutą prieš kalbėdami apie adresus. Trūkstamas maršrutas ir neteisingai praneštas šaltinis partneriui, kuris tiesiog nemato srauto, atrodo visiškai vienodai.

Kai antroji transformacija pakeičia atsakymą

AWS taip pat siūlo aiškų, atitinkantį vienas-su-vienu NAT susiejimą tranzito perėjos priede. Šis susiejimas gali dar kartą paversti šaltinį, prieš tai pamatant tolimajai tarnybai, ir tai nėra numatytasis elgesys, kuris tik maršrutizuoja. Kadangi jį reikia sukonfigūruoti sąmoningai, traktuokite jį kaip projektavimo išimtį, o ne kaip tai, ką paveldite netyčia. Jei niekas jūsų komandoje neprisimena jo įjungęs, manykite, kad jo nėra, kol perskaitysite priedą.

Jei jūsų projektavimas jį naudoja, leidžiamų sąrašas turi aprašyti galutinį susiejimą, o ne NAT perėjos adresą. Toks pat atsargumas galioja prieinamumo keliams: kai dalyvauja keli perėjų adresai, laukiamas šaltinių rinkinys yra sąjunga, o ne vienas reprezentatyvus adresas. Užsirašykite, kuriai transformacijai priklauso kiekvienas adresas, nes sąrašo be kilmės vėliau neįmanoma audituoti.

Privačiai NAT perėjai negalima suteikti interneto paslaugos nukreipiant ją į interneto perėją; AWS dokumentuoja, kad toks srautas atmetamas. Tipą rinkitės pagal visą kelią, o ne pagal reikalavime esantį žodį VPN.

Parašykite sutartį, kuria jūsų partneris gali veikti

Naudojama sutartis turi keturias dalis: kryptį, nuo kurios prasideda srautai, išverstą tapatybę, kurią matys partneris, grįžimo maršrutą tai tapatybei ir taikomą apsaugos apimtį. NAT perėjos srautai prasideda nuo palaikomos šaltinio pusės, todėl tai nėra įeinančių prievadų peradresavimo paslauga privačiam darbo krūviui atskleisti. Tai pasakius garsiai anksti, išvengiama projektavimo peržiūros, kurioje kiekviena pusė manė, kad pradėjo kita.

Transformacija nusiperka palengvėjimą dėl adresų persidengimo ir nuspėjamą šaltinio politiką, o jums kainuoja individualią darbo krūvio tapatybę partnerio žurnaluose. Jei auditui reikia priskyrimo pagal darbo krūvį, laikykite tą tapatybę programų sluoksnyje, o nebandykite jos atkurti iš transformuoto šaltinio adreso.

Tada po bet kokio pakeitimo dar kartą patikrinkite abi maršrutų lenteles, nes naujas priedas ar iš naujo susietas potinklis tyliai perrašo atsakymą.