AWS Client VPN ar sadalītu tuneli: kādus maršrutus publicēt

Konsole piedāvā sadalītā tuneļa slēdzi, tāpēc lēmums šķiet kā izvēles rūtiņa. Tas nav. Tas, kas faktiski nonāk līdz klientam, ir galapunkta publicētais maršrutu kopums, un šis saraksts nosaka, kuri privātie prefiksi izmanto tuneli, vai vispārējā interneta trafika paliek lokāla vai iziet caur AWS, un ar kuru resolveri klients vēl var sazināties. Trīs jautājumi nosaka dizainu, un uz katru var atbildēt slikti, kamēr savienojums joprojām izdodas.

Sadalītā tuneļa karodziņš nav galamērķu saraksts

AWS raksturo sadalītu tuneli kā galapunkta maršrutu pievienošanu klienta maršrutu tabulai savienojuma izveides laikā. Maršruts uz privāto VPC ierobežo tuneli ar šo galamērķi; viss pārējais seko klienta parastajam ceļam. Noklusējuma maršruts ir cita instrukcija ar citu ietekmi, tāpēc sadalītā tuneļa dokumentācija brīdina nepublicēt 0.0.0.0/0 galapunktā, kas konfigurēts šim režīmam: tas parasti pārtrauc savienojamību, nevis to paplašina. Galapunkta maršrutu tabula ir politika, un klienta maršrutu tabula ir rezultāts, ko varat pārbaudīt.

Lasiet galapunkta maršrutu tabulu un klientā instalētos maršrutus kopā. Etiķete apraksta nodomu; maršruti apraksta, kas notiek.

Pirmais lēmums: vai vispārējai interneta trafikai jāpaliek lokālai?

Ja pārlūkošanai jāizmanto lietotāja paša savienojums, publicējiet tikai tos privātos galamērķus, kas nepieciešami darbam, un apstājieties tur. Nepievienojiet interneta maršrutu tāpēc, ka pilna tuneļa apmācībā tāds bija, un nepieņemiet, ka papildu maršruts uzlabo drošību. Tas maina ceļu, nepievieno politiku un parasti izmaksā aizkavēšanos, ko neplānojāt.

Ja interneta trafikai jāiziet caur AWS, izveidojiet dokumentēto interneta piekļuves arhitektūru: galapunkta maršrutu, autorizācijas noteikumus, saistītā apakštīkla ceļu, drošības politiku un strādājošu augšupēju izeju. Tikai noklusējuma maršruts neko no tā nesniedz.

Otrais lēmums: kuri privātie prefiksi un ar kā autorizāciju?

Publicējiet mazāko galamērķu kopumu, kas apkalpo faktisko darba slodzi, un pārbaudiet, vai katrs saistītais apakštīkls var maršrutēt uz tiem. Galapunkta maršruta mērķis un apakštīkla VPC maršrutēšana ir dažādi slāņi, un maršruts, kas pastāv vienā, nav pierādījums par otru. Autorizācija atkal ir atsevišķa: galamērķis var būt sasniedzams un tomēr atteikts, jo klienta grupai nav noteikuma, kas to atļauj.

Vienas veiksmīgas sesijas pārbaude pierāda vienu ceļu. Pārbaudiet katru saistīto apakštīklu, jo vēlāk pievienotais apakštīkla saistījums ir tieši tā vieta, kur parasti atrodas trūkstošais maršruts.

Kad galamērķim jābūt sasniedzamam pēc nosaukuma, ņemiet vērā, ka nākamais jautājums ir nosaukumu izšķiršana, nevis maršruts.

Trešais lēmums: kurš resolveris seko tunelim?

Klients var saņemt DNS serveri, kas sasniedzams tikai caur VPN, un šis resolveris darbojas tikai tad, ja tā adrese pati ir autorizētā maršruta iekšpusē. Pārbaudiet abas puses: resolvera adrese seko publicētam maršrutam, un serveris atbild uz nosaukumiem, ko pieprasa lietojumprogramma. Pieprasījums, kas izdodas pēc adreses, bet neizdodas pēc resursdatora nosaukuma, norāda uz nosaukumu piešķiršanu, nevis maršrutēšanu, un tuneļa atkļūdošana tādā gadījumā izšķērdē pēcpusdienu.

Publiskajiem nosaukumiem jāizšķiras tāpat kā pirms savienojuma, kas ir vēl viens iemesls būt precīzam par to, ko publicējat.

Mainiet maršrutu kopumu un pēc tam pārbaudiet abas pasaules

AWS dokumentē, ka maršrutu maiņa sadalītā tuneļa galapunktā atiestata klientu savienojumus. Plānojiet izmaiņas, to ņemot vērā: piemērojiet tās, atkārtoti pievienojieties caur atbalstīto klientu un nolasiet instalētos maršrutus no jauna, tā vietā lai paļautos uz stāvokli, kas piemērots pirms rediģēšanas. Novecojis piemērotais stāvoklis ir visbiežākais iemesls, kāpēc pareizas izmaiņas izskatās salauztas.

Pieņemiet dizainu tikai tad, kad viens privātais resurss un viens publiskais galamērķis abi darbojas kā paredzēts, pēc nosaukuma un pēc adreses, tajās adrešu saimēs, kuras patiešām atbalstāt. Tunelis, kas autentificē, nav tas pats, kas tunelis, kas pareizi sadala.

Ierakstiet maršrutu sarakstu runbookā blakus pamatojumam, lai nākamā persona varētu atšķirt tīšu izslēgšanu no aizmirstas.