AWS Client VPN со поделен тунел: кои рути да ги објавите

Конзолата нуди прекинувач за поделен тунел, па одлуката изгледа како поле за избор. Не е. Она што навистина стигнува до клиентот е објавеното множество рути на крајната точка, и тој список одлучува кои приватни префикси го користат тунелот, дали општиот интернет сообраќај останува локален или излегува преку AWS и со кој resolver клиентот сè уште може да разговара. Три прашања го решаваат дизајнот, и на секое може да се одговори лошо додека врската сè уште успева.

Знамето за поделен тунел не е список на дестинации

AWS го опишува поделениот тунел како додавање на рутите на крајната точка во табелата со рути на клиентот при воспоставување на врската. Рутата за приватниот VPC го ограничува тунелот на таа дестинација; сè друго го следи вообичаениот пат на клиентот. Стандардната рута е друга инструкција со друг ефект, затоа документацијата за поделен тунел предупредува против објавување на 0.0.0.0/0 на крајна точка конфигурирана за овој режим: тоа обично ја крши поврзаноста наместо да ја прошири. Табелата со рути на крајната точка е политиката, а табелата со рути на клиентот е резултатот што можете да го проверите.

Читајте ја табелата со рути на крајната точка и инсталираните рути на клиентот заедно. Ознаката опишува намера; рутите опишуваат што се случува.

Прва одлука: треба ли општиот интернет сообраќај да остане локален?

Ако прелистувањето треба да ја користи сопствената врска на корисникот, објавете ги само приватните дестинации што и се потребни на работата и застанете таму. Не додавајте интернет рута затоа што упатство за целосен тунел вклучуваше една, и не претпоставувајте дека дополнителната рута ја подобрува безбедноста. Таа го менува патот, не додава политика и обично чини доцнење што не сте го предвиделе.

Ако интернет сообраќајот треба да излезе преку AWS, изградете ја документираната архитектура за интернет пристап: рута на крајната точка, правила за авторизација, патот на поврзаната подмрежа, безбедносна политика и работен излез нагоре. Само стандардна рута не обезбедува ништо од тоа.

Втора одлука: кои приватни префикси и со чија авторизација?

Објавете го најмалото множество дестинации што служи на вистинскиот работен товар и проверете дали секоја поврзана подмрежа може да рутира кон нив. Целта на рутата на крајната точка и VPC рутирањето на подмрежата се различни слоеви, а рута што постои во едниот не е доказ за другиот. Авторизацијата пак е одделна: дестинацијата може да е достапна и сепак одбиена затоа што групата на клиентот нема правило што ја дозволува.

Тестирањето на една успешна сесија докажува еден пат. Проверете ја секоја поврзана подмрежа, затоа што поврзувањето на подмрежа додадено подоцна е токму местото каде што обично живее рутата што недостасува.

Кога дестинацијата мора да биде достапна по име, забележете дека следното прашање е разрешување на имиња, а не рутата.

Трета одлука: кој resolver го следи тунелот?

Клиентот може да добие DNS сервер достапен само преку VPN, и тој resolver работи само ако неговата адреса е самата во авторизирана рута. Проверете ги двете половини: адресата на resolver-от следи објавена рута, а серверот одговара на имињата што ги бара апликацијата. Барањето што успева по адреса, но не успева по име на домаќин, укажува на именување, а не на рутирање, и отстранувањето грешки во тунелот во тој случај го троши попладнето.

Јавните имиња треба да се разрешуваат како пред врската, што е уште една причина да бидете прецизни за она што го објавувате.

Променете го множеството рути, потоа проверете ги двата света

AWS документира дека менувањето на рути на крајна точка со поделен тунел ги ресетира клиентските врски. Планирајте ја промената со тоа на ум: применете ја, поврзете се повторно преку поддржаниот клиент и прочитајте ги инсталираните рути одново наместо да се потпрете на состојба применета пред уредувањето. Застарената применета состојба е најчестата причина зошто точна промена изгледа расипана.

Прифатете го дизајнот само кога еден приватен ресурс и една јавна дестинација се однесуваат како што е предвидено, по име и по адреса, во адресните семејства што навистина ги поддржувате. Тунел што автентицира не е исто како тунел што правилно дели.

Запишете го списокот рути во runbook до образложението, за да може следниот човек да разликува намерно исклучување од заборавено.