EC2-യിലെ Access Server പൂർണ ടണൽ: ഒരു ചെക്ക്ബോക്സ് എന്തുകൊണ്ട് പര്യാപ്തമല്ല

EC2 ഇൻസ്റ്റൻസിൽ ഉറവിട, ലക്ഷ്യ പരിശോധന ഓഫാക്കുന്നത് Access Server-ന്റെ ഇന്റർനെറ്റ് എക്സിറ്റിനെക്കുറിച്ചുള്ള ചോദ്യങ്ങൾക്ക് ഏറ്റവും കൂടുതൽ ആവർത്തിക്കപ്പെടുന്ന ഉത്തരമാണ്, എന്നാൽ അത് ഒറ്റയ്ക്ക് നിങ്ങളുടെ ക്ലയന്റുകൾക്ക് ഒന്നും ചെയ്യുന്നില്ല. ഈ പരിശോധന AWS-ന്റെ ഫോർവേഡിംഗ് നിയന്ത്രണമാണ്: ഉറവിടമോ ലക്ഷ്യമോ സ്വന്തം വിലാസമല്ലാത്ത പാക്കറ്റുകൾ ഇൻസ്റ്റൻസ് സ്വീകരിക്കാൻ അത് അനുവദിക്കുന്നു. ക്ലയന്റിനോട് ഇന്റർനെറ്റ് ട്രാഫിക് ടണലിലൂടെ അയയ്ക്കാൻ അത് പറയുന്നില്ല, മുകളിലേക്കുള്ള റൂട്ട് സൃഷ്ടിക്കുന്നില്ല, NAT ചേർക്കുന്നുമില്ല. ചെക്ക്ബോക്സ് തന്നെയാണ് ഫീച്ചർ എന്നതാണ് കെട്ടുകഥ.

പരിശോധന യഥാർത്ഥത്തിൽ നിയന്ത്രിക്കുന്നത്

ഓരോ EC2 നെറ്റ്വർക്ക് ഇന്റർഫേസും തന്നിലേക്ക് അയയ്ക്കാത്ത ട്രാഫിക് ഉപേക്ഷിക്കുന്നു, ഇൻസ്റ്റൻസ് റൂട്ടർ, NAT ഉപകരണം അല്ലെങ്കിൽ VPN ഗേറ്റ്വേ ആയി പ്രവർത്തിക്കുകയും നിങ്ങൾ ആ പരിശോധന ഓഫാക്കുകയും ചെയ്താൽ ഒഴികെ. അത് ഓഫാക്കുന്നത് ഫോർവേഡ് ചെയ്യാൻ അനുമതി നൽകുന്നു. അനുമതി കോൺഫിഗറേഷനല്ല: ഇൻസ്റ്റൻസിന് ഇപ്പോഴും ഇന്റർനെറ്റ് ഗേറ്റ്വേയിലേക്കോ NAT ഉപകരണത്തിലേക്കോ റൂട്ട് വേണം, VPC റൂട്ട് ടേബിളിന് ഇപ്പോഴും പൊരുത്തപ്പെടുന്ന എൻട്രി വേണം, സെക്യൂരിറ്റി ഗ്രൂപ്പുകൾ ഇപ്പോഴും ഫ്ലോ അനുവദിക്കണം, സർവറിന് ഇപ്പോഴും തിരിച്ചുവരുന്ന ട്രാഫിക് വിവർത്തനം ചെയ്യുകയോ റൂട്ട് ചെയ്യുകയോ വേണം.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck ഉപയോഗിച്ച് നിലവിലെ മൂല്യം പരിശോധിക്കുക. കൺസോളിൽ മാറ്റുന്നെങ്കിൽ, ക്ലയന്റിന് ഇന്റർനെറ്റ് ലഭിക്കാത്തതുകൊണ്ടല്ല, ഇൻസ്റ്റൻസ് മറ്റുള്ളവർക്കുവേണ്ടി ഫോർവേഡ് ചെയ്യുന്നതുകൊണ്ട് മാറ്റുക.

ക്ലയന്റ് റൂട്ടിംഗ് നയം Access Server-ന്റേതാണ്

Access Server 3-ൽ Access Controls തുറന്ന് Internet Access and DNS വിഭാഗം കണ്ടെത്തുക. Internet Gateway തിരഞ്ഞെടുപ്പ് പൂർണ ടണലോ വിഭജിത ടണലോ നൽകുന്നു; പൂർണ ടണൽ ക്ലയന്റിനോട് അതിന്റെ സ്ഥിര ട്രാഫിക് VPN-ലേക്ക് റൂട്ട് ചെയ്യാൻ പറയുന്നു, വിഭജിത ടണൽ ഇന്റർനെറ്റ് ട്രാഫിക് ക്ലയന്റിന്റെ പ്രാദേശിക പാതയിൽ വിടുന്നു. ഉൽപ്പന്നത്തിന്റെ വർക്ക്ഫ്ലോയിലൂടെ സേവ് ചെയ്ത് പ്രയോഗിക്കുക, തുടർന്ന് ടെസ്റ്റ് ക്ലയന്റ് വീണ്ടും ബന്ധിപ്പിക്കുക, കാരണം നയം കണക്ഷൻ സമയത്താണ് നൽകുന്നത്.

പഴയ പതിപ്പുകൾ വ്യത്യസ്ത മെനുകൾ ഉപയോഗിക്കുന്നു, ചില Community OpenVPN ബിൽഡുകൾക്ക് തത്തുല്യ നിയന്ത്രണമില്ല. ഇല്ലാത്ത സ്ക്രീൻ തിരയുന്നതിന് മുമ്പ് ഇൻസ്റ്റാൾ ചെയ്ത പ്രധാന പതിപ്പ് പരിശോധിക്കുക. തുടർന്ന് ക്ലയന്റിന് എന്ത് ലഭിച്ചുവെന്ന് സ്ഥിരീകരിക്കുക: പൂർണ ടണൽ പ്രൊഫൈൽ ടണലിലൂടെ സ്ഥിര റൂട്ട് ഇൻസ്റ്റാൾ ചെയ്യണം, വിഭജിത ടണൽ പ്രൊഫൈൽ അങ്ങനെ ചെയ്യരുത്.

ടണലിന് ശേഷം പാക്കറ്റ് കണ്ടെത്തുക

ക്ലയന്റ് ഇന്റർനെറ്റ് ട്രാഫിക് ടണലിലേക്ക് അയച്ചുകഴിഞ്ഞാൽ സർവർ അത് ഫോർവേഡ് ചെയ്യണം, സാധാരണയായി വിവർത്തനം ചെയ്യണം. Access Server അതിന്റെ സ്വന്തം NAT, റൂട്ടിംഗ് നിയമങ്ങൾ കൈകാര്യം ചെയ്യുന്നു, അതിനാൽ ജനറേറ്റ് ചെയ്ത ഫയലുകളിൽ Community OpenVPN നിയമങ്ങൾ ചേർക്കുന്നതിനുപകരം ഫലപ്രദമായ കോൺഫിഗറേഷൻ വായിക്കുക; കൈകാര്യം ചെയ്യാത്ത നിയമങ്ങൾ അടുത്ത ഉൽപ്പന്ന അപ്ഡേറ്റിൽ മേലെഴുതപ്പെടുകയോ കൂട്ടിയിടിക്കുകയോ ചെയ്യുന്നു. sudo iptables -t nat -L -n -v അല്ലെങ്കിൽ nftables-ന്റെ തത്തുല്യം യഥാർത്ഥത്തിൽ എന്താണ് വിവർത്തനം ചെയ്യപ്പെടുന്നതെന്ന് കാണിക്കുന്നു.

AWS വശം വേറിട്ട പാതയാണ്. പൊതു സബ്നെറ്റിലെ ഇൻസ്റ്റൻസ് ഇന്റർനെറ്റ് ഗേറ്റ്വേയിലേക്ക് നേരിട്ട് എത്തി അതിന്റെ പൊതു വിലാസമോ ഇലാസ്റ്റിക് IP-യോ നിലനിർത്തുന്നു. സ്വകാര്യ സബ്നെറ്റിലെ ഇൻസ്റ്റൻസിന് NAT ഗേറ്റ്വേയിലേക്കോ NAT ഇൻസ്റ്റൻസിലേക്കോ റൂട്ട് വേണം, NAT ഉപകരണത്തിന് ഇന്റർനെറ്റ് ഗേറ്റ്വേയിലേക്ക് സ്വന്തം റൂട്ട് വേണം. ഇന്റർനെറ്റ് ഗേറ്റ്വേ VPC-യിൽ ഘടിപ്പിക്കുന്നത് ഒരു സ്വകാര്യ ഉറവിടത്തിനും പൊതു തിരിച്ചുവരവ് വിലാസം നൽകുന്നില്ല, അതുകൊണ്ടാണ് ഒരേ Access Server ക്രമീകരണം ഒരു സബ്നെറ്റിൽ പ്രവർത്തിക്കുകയും മറ്റൊന്നിൽ നിശബ്ദമായി പരാജയപ്പെടുകയും ചെയ്യുന്നത്.

ഇൻസ്റ്റൻസിന്റെ സബ്നെറ്റുമായി ബന്ധിപ്പിച്ച റൂട്ട് ടേബിൾ പരിശോധിക്കുക, VPC-യുടെ പ്രധാന ടേബിൾ മാത്രമല്ല. സബ്നെറ്റ് അസോസിയേഷനുകൾ പ്രധാന ടേബിളിനെ മറികടക്കുന്നു, പഴയ അസോസിയേഷൻ പ്രവർത്തിച്ചിരുന്ന ക്രമീകരണം പുനർനിർമ്മാണത്തിന് ശേഷം നിലയ്ക്കാനുള്ള സാധാരണ കാരണമാണ്.

IP എക്സിറ്റും DNS-ഉം വേർതിരിച്ച് സൂക്ഷിക്കുക

ഒരേ ക്ലയന്റ് ആപ്പിൽ നിന്ന് ആദ്യം വിലാസ ലിറ്ററൽ, പിന്നീട് പേര് പരീക്ഷിക്കുക. curl -4 https://checkip.amazonaws.com പൊതു വിലാസം തിരികെ നൽകുന്നുവെങ്കിലും ഹോസ്റ്റ് നാമങ്ങൾ പരാജയപ്പെടുന്നുവെങ്കിൽ, ടണലും NAT പാതയും പ്രവർത്തിക്കുന്നു, പ്രശ്നം DNS-ലാണ്: പുഷ് ചെയ്ത റിസോൾവർ, ക്ലയന്റിന്റെ റിസോൾവർ അവസ്ഥ, അല്ലെങ്കിൽ റിസോൾവർ തടയുന്ന സെക്യൂരിറ്റി ഗ്രൂപ്പ്. Access Server-ന്റെ DNS ക്രമീകരണങ്ങൾ അതേ Internet Access മേഖലയിലാണ്, പക്ഷേ അവ വ്യത്യസ്ത കോഡ് പാതയിലൂടെ സഞ്ചരിക്കുന്നു.

തിരികെ ലഭിച്ച വിലാസം നിങ്ങൾ ഉദ്ദേശിച്ച എക്സിറ്റുമായി താരതമ്യം ചെയ്യുക. അത് ഇൻസ്റ്റൻസിന്റെ പൊതു വിലാസമാണെങ്കിൽ ട്രാഫിക് ഇൻസ്റ്റൻസ് വിവർത്തനം ചെയ്യുന്നു; അത് NAT ഗേറ്റ്വേ വിലാസമാണെങ്കിൽ സ്വകാര്യ സബ്നെറ്റ് പാത ഉപയോഗിക്കുന്നു. രണ്ടും ശരിയാകാം. നിങ്ങൾക്ക് അനുമാനിക്കാനാകാത്തത് സർവറിലെ ബ്രൗസർ ക്ലയന്റ് ഫോർവേഡിംഗ് തെളിയിക്കുന്നു എന്നതാണ്.

ഒരു ചെക്ക്ബോക്സ് അന്വേഷണം അവസാനിപ്പിക്കാൻ അനുവദിക്കരുത്

IPv6 വേറിട്ട തീരുമാനമാണ്. IPv4-നുള്ള പൂർണ ടണൽ നയം IPv6 കൊണ്ടുപോകുന്നുണ്ടോ, തടയുന്നുണ്ടോ, ചോരുന്നുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, ഇരട്ട സ്റ്റാക്ക് ക്ലയന്റിന് IPv4 ടണലിൽ ആയിരിക്കുമ്പോൾ സ്വന്തം പ്രാദേശിക IPv6 പാത തുടർന്നും ഉപയോഗിക്കാം. നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ പ്രധാനമായ വിലാസ കുടുംബം പരീക്ഷിക്കുക, മറ്റേത് പ്രവർത്തനരഹിതമാക്കണമോ എന്ന് വ്യക്തമായി തീരുമാനിക്കുക.

അവസാനം, വിച്ഛേദിച്ച അവസ്ഥ പരീക്ഷിക്കുക. പൂർണ ടണൽ തിരഞ്ഞെടുപ്പ് ബന്ധിപ്പിച്ചിരിക്കുമ്പോഴുള്ള റൂട്ടിംഗ് നയം വിവരിക്കുന്നു, ടണൽ വീഴുമ്പോൾ എന്ത് സംഭവിക്കുന്നു എന്നല്ല. VPN-ന് പുറത്തേക്ക് ഒരു ട്രാഫിക്കും രക്ഷപ്പെടരുത് എന്നതാണ് ആവശ്യമെങ്കിൽ, അത് kill-switch, ഫയർവാൾ ചോദ്യമാണ്, റൂട്ട് ടേബിളിൽ നിന്നുള്ള അനുമാനത്തിനുപകരം അതിന് സ്വന്തം പരിശോധന വേണം.