Која изворна IP ја користи AWS NAT портата кон VPN?

Ја отворате конзолата VPC бидејќи партнерот праша кој изворен опсег ќе пристигне преку VPN од локација до локација. Страницата NAT порти покажува јавна порта со прикачена Elastic IP, и искушението е да ја пратите таа адреса и да продолжите. Тоа е точниот одговор за интернет патеката и погрешниот одговор за VPN патеката, а разликата е на која порта покажува рутирачката табела. Изминете ја рутата пред да ја напишете дозволената листа.

Започнете од страницата NAT порти, а не од дозволената листа

Страницата NAT порти ви ја кажува подмрежата, типот и Elastic IP, и тие три полиња се доволни за почеток. Она што не го кажува е патеката што сообраќајот ја презема потоа. Тоа доаѓа од рутирачките табели прикачени на подмрежата на NAT портата.

Прво прочитајте го типот, бидејќи јавна или приватна одлучува дали подоцна во синџирот ќе се појави интернет порта. Потоа прочитајте ја подмрежата, бидејќи таму живее втората рута.

Следете ги двете преводи

И јавните и приватните NAT порти ја преведуваат приватната IPv4 изворна адреса на работното оптоварување во сопствената приватна IPv4 адреса на NAT портата. Овој прв превод се случува без оглед на типот. Вториот превод е оној што се заборава: јавната NAT порта му го предава сообраќајот на интернет портата, која ја мапира адресата на прикачената Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

На приватната патека нема интернет порта во синџирот. Кога сообраќајот излегува преку транзитна порта или виртуелна приватна порта, водичот за NAT порти ја документира приватната адреса на NAT портата како извор што го прима далечната страна. Токму таа адреса треба да ја дозволи партнерот, а не Elastic IP.

VPN патеката обично ја покажува приватната адреса

За работно оптоварување во 10.20.1.0/24 што стигнува до префикс на партнер, рутирачката табела на подмрежата на оптоварувањето покажува на NAT портата, а рутирачката табела на подмрежата на NAT портата покажува на патеката на приватната порта. Двата скока се важни, и само вториот одлучува што гледа партнерот. Ако NAT подмрежата нема рута до VPN патеката, пакетот никогаш не пристигнува, и тоа е различен дефект од погрешна изворна адреса.

Проверете ја таа втора рута пред воопшто да зборувате за адреси. Рута што недостасува и погрешно пријавен извор изгледаат исто за партнер што едноставно не гледа сообраќај.

Кога втор превод го менува одговорот

AWS нуди и експлицитно, соодветно еден-на-еден NAT мапирање на приклучок на транзитна порта. Тоа мапирање може уште еднаш да го преведе изворот пред далечната услуга да го види, и тоа не е стандардното однесување што само рутира. Бидејќи мора намерно да се конфигурира, третирајте го како проектна исклучок, а не како нешто што случајно го наследувате. Ако никој во вашиот тим не се сеќава дека го вклучил, претпоставете дека го нема додека не го прочитате приклучокот.

Ако вашиот проект го користи, дозволената листа мора да го опише конечното мапирање, а не адресата на NAT портата. Истата претпазливост важи и за патеките на достапност: кога учествуваат повеќе адреси на порти, очекуваното множество извори е унијата, а не една претставничка адреса. Запишете на кој превод припаѓа секоја адреса, бидејќи листа без потекло е невозможно да се ревидира подоцна.

На приватна NAT порта не може да ѝ се даде интернет услуга со тоа што ќе се насочи кон интернет порта; AWS документира дека таков сообраќај се отфрла. Изберете го типот од целосната патека, а не од зборот VPN во барањето.

Напишете го договорот по кој вашиот партнер може да дејствува

Употребливиот договор има четири делови: насоката од која започнуваат тековите, преведениот идентитет што партнерот ќе го види, повратната рута за тој идентитет и обемот на заштита што се применува. Теката на NAT портата започнуваат од поддржаната изворна страна, така што ова не е услуга за проследување влезни порти за изложување приватно работно оптоварување. Да се каже тоа гласно рано спречува преглед на проектот во кој секоја страна претпоставувала дека другата започнала.

Преводот купува олеснување од преклопување на адреси и предвидлива изворна политика, а ве чини индивидуалниот идентитет на работното оптоварување во дневниците на партнерот. Ако ревизијата бара припишување по работно оптоварување, чувајте го тој идентитет на апликациско ниво наместо да се обидувате да го вратите од преведена изворна адреса.

Потоа проверете ги двете рутирачки табели повторно по секоја промена, бидејќи нов приклучок или повторно поврзана подмрежа тивко го препишува одговорот.