strongSwan на EC2: нека VPC го насочува работното оптоварување

Работен тунел од портата докажува само портата. Насучете ја подмрежата на оптоварувањето, вклучете препраќање на гостинот, проширете ги селекторите и потоа тестирајте од неа.

Тунелот работи, примерокот на портата може да пингува далечната мрежа, а примерокот на апликацијата до него не стигнува никаде. Ништо не е расипано. Успешниот тест започна на VPN хостот и никогаш не праша дали тој хост може да носи друга изворна адреса низ истата IPsec врска. Овој прирачник ја затвора таа празнина во четири чекори, по редоследот што ја држи секоја грешка видлива.

Прво запишете ги четирите адреси

Секој чекор подолу се однесува на нив, затоа пополнете ги за вашата сметка пред да допрете табела за насочување.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Примерот претпоставува одобрена, работна IPsec врска заснована на правила и тек што го зачувува изворот. Ова не е NAT клиент за далечински пристап што позајмува една доделена адреса, и таа разлика одлучува дали селекторите треба да се променат.

Чекор 1: дајте и маршрута на подмрежата на оптоварувањето

Табелата за насочување што е навистина поврзана со подмрежата на оптоварувањето бара пат за далечниот префикс што покажува на мрежниот интерфејс на портата. Маршрута на гостин инсталирана внатре во примерокот не е запис во таа табела за насочување на AWS и никаква конфигурација на strongSwan нема да создаде таква.

Упатствата на AWS за насочување преку уред опишуваат цели од типот мрежен интерфејс и барањето за проверка на изворот/одредиштето на примерокот што препраќа. Ограничете ја таа промена на проверката на улогата на порта и оставете ги обичните примероци на апликации на мир.

Не ја заменувајте локалната маршрута на VPC или секој постоечки запис за да направите простор за една одобрена мрежа. Проверете што е поврзано и активно, наместо што покажува страница на конзолата за табела за насочување што никој не ја користи. Две слични табели може да имаат различни поврзувања. Важна е таа на која е прикачена подмрежата на оптоварувањето.

Чекор 2: вклучете препраќање на гостинот

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Јадрото мора да препраќа, а огнениот ѕид на хостот мора да го дозволи преминот. Додајте ги предвидените правила за препраќање за префиксите на оптоварувањето и далечните наместо да прифаќате сето, и потврдете дека подмрежата на портата задржува употреблива транспортна маршрута за сопствениот сообраќај.

Безбедносните групи се местото каде што овој чекор обично заглавува. Среден уред не го наследува однесувањето на референца за безбедносни групи од директната комуникација на примероците, па правило копирано од пример за управуван Client VPN може никогаш да не се совпадне. Проверете ја безбедносната група и ACL на подмрежата на вистинскиот пат, во двете насоки.

Чекор 3: проширете ги селекторите до вистинските извори

Правило што на страната на AWS покрива само 10.60.1.10/32 објаснува успех што почнал на портата без да покрива 10.60.2.20. Маршрута кон далечното одредиште не проширува селектор на сообраќај и тоа е втората половина од истото изненадување.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Ако договорениот дизајн го штити целиот VPC, двете страни мора да ги прифатат 10.60.0.0/16 и 10.90.0.0/24. Ако штити едно оптоварување, намерно користете го тој потесен префикс. Во секој случај, проверете го инсталираното правило CHILD-SA, бидејќи конфигурација што сте ја уредувале и страна што ја стеснила поинаку не се истиот договор.

Далечното место исто така мора да ги насочува одговорите за зачуваните извори на VPC назад низ предвидената IPsec порта. Задржете го поддржаното изземање од NAT за заштитен сообраќај каде што постојат други правила за NAT на изворот; преведувањето на неодобрено оптоварување во дозволена адреса на хост е друг договор за идентитет, а не кратенка до пристапот што го сакавте.

Чекор 4: проверете и потоа вратете ако е потребно

Тестирајте од самото оптоварување со нова дозволена операција на апликацијата, потоа повторете со одредиште што треба да биде исклучено. Запишете ја изворната адреса што ја гледа далечната услуга и повратниот пат што го користи. Ping кон портата или зелено IKE статус не е тој тест.

Ако оптоварувањето сето уште не успева додека портата работи, вратете се низ чекорите по ред: селектор, потоа препраќање и безбедносни групи, потоа поврзаната табела за насочување. Секој има различен симптом, а погодувањето го прескокнува оној што е навистина погрешен.

Враќањето го превртува истиот редослед. Отстранете ја маршрутата на подмрежата на оптоварувањето последна, откако ќе ги вратите претходните селектори, за да не оставите подмрежа што покажува на порта што повеќе не ги штити нејзините извори. Самостојното хостирање може да служи повеќе од хостот на портата кога овие договори важат, а Site-to-Site VPN управуван од AWS е различен оперативен модел каде strongSwan може наместо тоа да стои на страната на клиентската порта.

Поврзани статии