Целосен тунел на Access Server на EC2: зошто едно поле за штиклирање не е доволно

Исклучувањето на проверката на извор и одредиште на EC2 инстанца е најповторуваниот одговор на прашањата за интернет излезот на Access Server и само по себе не прави ништо за вашите клиенти. Проверката е ограничување за препраќање на AWS: ѝ овозможува на инстанцата да прима пакети чиј извор или одредиште не е нејзината сопствена адреса. Таа не му кажува на клиентот на Access Server да го испраќа интернет сообраќајот низ тунелот, не создава патека нагоре и не додава NAT. Мит е дека полето за штиклирање е самата функција.

Што всушност контролира проверката

Секој мрежен интерфејс на EC2 отфрла сообраќај што не е упатен кон него, освен ако инстанцата работи како рутер, NAT уред или VPN порта и вие не ја исклучите таа проверка. Исклучувањето дава дозвола за препраќање. Дозволата не е конфигурација: на инстанцата сè уште ѝ треба патека до интернет порта или NAT уред, табелата со патеки на VPC сè уште ѝ треба соодветниот запис, безбедносните групи сè уште мора да го дозволуваат текот, а серверот сè уште мора да го преведува или насочува повратниот сообраќај.

Проверете ја тековната вредност со aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck пред да смените нешто. Ако ја смените во конзолата, сменете ја затоа што инстанцата препраќа за други, а не затоа што клиент не може да стигне до интернет.

Политиката за насочување на клиентот ѝ припаѓа на Access Server

Во Access Server 3 отворете Access Controls и пронајдете го делот Internet Access and DNS. Изборот Internet Gateway нуди целосен или поделен тунел; целосниот тунел му кажува на клиентот да го насочува основниот сообраќај во VPN, поделениот го остава интернет сообраќајот на локалната патека на клиентот. Зачувајте и применете преку работниот тек на производот, потоа повторно поврзете тест клиент, бидејќи политиката се доставува во моментот на поврзување.

Поновите изданија користат други менија и некои Community OpenVPN изградби немаат еквивалентна контрола. Проверете ја инсталираната главна верзија пред да барате екран што не постои. Потоа потврдете што добил клиентот: профилот за целосен тунел треба да постави основна патека низ тунелот, а профилот за поделен тунел не треба.

Следете го пакетот по тунелот

Откако клиентот ќе го испрати интернет сообраќајот во тунелот, серверот мора да го препрати и обично да го преведе. Access Server управува со своите NAT и правила за насочување, затоа читајте ја фактичката конфигурација наместо да додавате правила на Community OpenVPN во генерираните датотеки; неуправуваните правила се препишуваат или се судираат при следното ажурирање на производот. sudo iptables -t nat -L -n -v или еквивалентот на nftables покажува што навистина се преведува.

Страната на AWS е одделна патека. Инстанца во јавна подмрежа стигнува до интернет порта директно и ја задржува својата јавна адреса или еластична IP. Инстанца во приватна подмрежа бара патека до NAT порта или NAT инстанца, а NAT уредот бара сопствена патека до интернет портата. Приклучувањето интернет порта на VPC само по себе не дава јавна повратна адреса на ниту еден приватен извор, затоа истата поставеност на Access Server работи во една подмрежа, а во друга молкум не успева.

Проверете ја табелата со патеки поврзана со подмрежата на инстанцата, не само главната табела на VPC. Поврзувањата на подмрежите ја надминуваат главната табела, а застареното поврзување е честа причина работечка конфигурација да запре по повторно градење.

Држете ги IP излезот и DNS одделно

Тестирајте прво буквален запис на адреса, потоа име, од истата клиентска апликација. Ако curl -4 https://checkip.amazonaws.com враќа јавна адреса, но имињата на домаќините не успеваат, тунелот и патеката NAT работат, а проблемот е во DNS: испратениот резолвер, состојбата на резолверот на клиентот или безбедносна група што го блокира резолверот. Поставките за DNS на Access Server се во истото Internet Access подрачје, но тие патуваат по различен коден пат.

Споредете ја вратената адреса со излезот што сте го намеравале. Ако тоа е јавната адреса на инстанцата, сообраќајот го преведува инстанцата; ако тоа е адреса на NAT порта, се користи патеката на приватната подмрежа. И двете може да се точни. Она што не можете да заклучите е дека прелистувач на серверот докажува препраќање за клиентот.

Не дозволувајте едно поле да ја затвори истрагата

IPv6 е одделна одлука. Политиката за целосен тунел за IPv4 не кажува ништо за тоа дали IPv6 се пренесува, блокира или истекува, а клиент со двоен стек може да продолжува да ја користи својата локална IPv6 патека додека IPv4 е во тунелот. Тестирајте го семејството адреси што навистина ви е важно и експлицитно одлучете дали другото треба да се исклучи.

На крајот тестирајте ја исклучената состојба. Изборот на целосен тунел ја опишува политиката за насочување додека сте поврзани, а не што се случува кога тунелот паѓа. Ако барањето е никаков сообраќај да не избега надвор од VPN, тоа е прашање на kill-switch и огнен ѕид и бара сопствен тест наместо заклучок од табелата со патеки.