VGW അല്ലെങ്കിൽ TGW? AWS Site-to-Site ന്റെ IPsec ടണൽ എവിടെ അവസാനിക്കുന്നു

AWS Site-to-Site VPN പാക്കറ്റ് എവിടെ സംരക്ഷിക്കുന്നത് നിർത്തുന്നു എന്ന് ആളുകൾ ചോദിക്കുകയും ഒരൊറ്റ ഉത്തരം പ്രതീക്ഷിക്കുകയും ചെയ്യുന്നു: ഗേറ്റ്വേയിൽ. ആ ഉത്തരത്തിന്റെ ഉപയോഗപ്രദമായ പതിപ്പ് ഏത് ഗേറ്റ്വേ എന്ന് പേരിടുന്നു, കാരണം വെർച്വൽ പ്രൈവറ്റ് ഗേറ്റ്വേയും ട്രാൻസിറ്റ് ഗേറ്റ്വേയും വ്യത്യസ്ത അറ്റാച്ച്മെന്റ് ഒബ്ജക്റ്റുകളുള്ള വ്യത്യസ്ത ക്രമീകരണങ്ങളാണ്, തെറ്റായത് അനുമാനിക്കുന്ന അവലോകകൻ നിലവിലില്ലാത്ത ഒരു ഡയഗ്രാമിൽ ബാക്കി വിലയിരുത്തൽ കെട്ടിപ്പടുക്കുന്നു. താഴെയുള്ള മൂന്ന് പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക. ഓരോന്നും അതിർത്തി സ്ഥിരീകരിക്കുന്നു അല്ലെങ്കിൽ മുൻ ഉത്തരം മറ്റൊരു വിഭവത്തെക്കുറിച്ചായിരുന്നു എന്ന് പറയുന്നു.

എന്തെങ്കിലും വിലയിരുത്തുന്നതിന് മുൻപ് മൂന്ന് അന്ത്യ ബിന്ദുക്കൾ പേരിടുക

ഈ പാതയുടെ എൻക്രിപ്ഷൻ അവലോകനത്തിന് മൂന്ന് പേരിട്ട കാര്യങ്ങൾ വേണം: ഉപഭോക്തൃ ഗേറ്റ്വേ, IPsec അവസാനിപ്പിക്കുന്ന AWS VPN ലക്ഷ്യം, ആന്തരിക പാക്കറ്റ് സ്വീകരിക്കുന്ന ആപ്ലിക്കേഷൻ അന്ത്യ ബിന്ദു. ഒരു കൺസോൾ പേജും തുറക്കുന്നതിന് മുൻപ് അവയെ അവയുടെ വിഭവ ഐഡന്റിഫയറുകളോടൊപ്പം എഴുതുക, കാരണം ഈ ബിന്ദുവിന് ശേഷമുള്ളതെല്ലാം ആ മൂന്നിൽ ഒന്നിനെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്.

ഉപഭോക്തൃ ഗേറ്റ്വേ നിങ്ങളുടേതാണ്, അതിന്റെ കോൺഫിഗറേഷൻ നിങ്ങൾക്ക് കാണാം. AWS ലക്ഷ്യം ഒരു മാനേജ്ഡ് വിഭവമാണ്, തെറ്റ് അത് അനുമാനിക്കുന്നതാണ്: VPN കണക്ഷൻ ഒരു വെർച്വൽ പ്രൈവറ്റ് ഗേറ്റ്വേയിലേക്കോ നേരിട്ട് ട്രാൻസിറ്റ് ഗേറ്റ്വേയിലേക്കോ അറ്റാച്ച് ചെയ്യാം, ഒന്നും മറ്റൊന്നിനെ അർത്ഥമാക്കുന്നില്ല. മൂന്നാമത്തെ അന്ത്യ ബിന്ദു ആളുകൾ ഒഴിവാക്കുന്നതാണ്, ആപ്ലിക്കേഷൻ ഡാറ്റയെക്കുറിച്ചുള്ള യഥാർത്ഥ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നത് അത് മാത്രമാണ്.

പരിശോധന 1: യഥാർത്ഥത്തിൽ ഏത് ഗേറ്റ്വേ ടണൽ അവസാനിപ്പിക്കുന്നു

രണ്ട് ക്രമീകരണങ്ങളും പിന്തുണയ്ക്കുന്നു, Site-to-Site VPN ആർക്കിടെക്ചർ ഗൈഡ് അവയെ വശങ്ങളിൽ വിവരിക്കുന്നു, അതിനാൽ പലപ്പോഴും ഒരു വർഷം പഴക്കമുള്ള ഡയഗ്രാമിന് പകരം API യോട് ചോദിക്കുക. ഒരു കണക്ഷനിൽ വായന-മാത്ര അന്വേഷണം VPN ലക്ഷ്യ ഫീൽഡുകൾ തിരികെ നൽകുന്നു:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

വ്യത്യാസകം TransitGatewayId ആണ്, VpnGatewayId അല്ല. TransitGatewayId ശൂന്യമായ കണക്ഷൻ സ്വതന്ത്ര വെർച്വൽ പ്രൈവറ്റ് ഗേറ്റ്വേയിൽ അവസാനിക്കുന്നു, ആ ഫീൽഡ് സെറ്റ് ചെയ്ത കണക്ഷൻ ട്രാൻസിറ്റ് ഗേറ്റ്വേയുടെ VPN അറ്റാച്ച്മെന്റിൽ അവസാനിക്കുന്നു, ആ സന്ദർഭത്തിൽ VpnGatewayId ഇപ്പോഴും നിറഞ്ഞിരിക്കാം, കാരണം അത് അറ്റാച്ച്മെന്റിന്റെ പിന്തുണ ഗേറ്റ്വേ പേരിടാം. ആദ്യം TGW ഫീൽഡ് വായിക്കുക, പിന്നീട് അറ്റാച്ച്മെന്റ് തരം ഫീൽഡ് പേരിൽ നിന്നല്ല, അറ്റാച്ച്മെന്റ് പട്ടികയിൽ നിന്ന് സ്ഥിരീകരിക്കുക, കാരണം ആ ട്രാൻസിറ്റ് ഗേറ്റ്വേയിലെ VPC അറ്റാച്ച്മെന്റ് VPN അറ്റാച്ച്മെന്റ് അല്ല. ബന്ധിപ്പിച്ച VPC യിൽ ലക്ഷ്യ ഇൻസ്റ്റൻസ് കണ്ടെത്തുന്നത് ഏത് VPN അറ്റാച്ച്മെന്റ് പാക്കറ്റ് കൊണ്ടുപോയി എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

അവിടെ ഇരിക്കുമ്പോൾ ടണലുകളും പരിശോധിക്കുക. കണക്ഷൻ റിഡണ്ടൻസിക്കായി രണ്ട് IPsec ടണലുകൾ വഹിക്കുന്നു, രണ്ടാമത്തെ ടണൽ ഒരിക്കലും ഉയർന്നിട്ടില്ലാത്ത കണക്ഷൻ എൻക്രിപ്ഷൻ അതിർത്തിയിൽ ഒന്നും മാറ്റുന്നില്ലെങ്കിലും ലഭ്യതയ്ക്ക് യഥാർത്ഥ കണ്ടെത്തലാണ്:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

പരിശോധന 2: ആന്തരിക പാക്കറ്റ് ഇപ്പോഴും എന്ത് വഹിക്കുന്നു

IPsec അവസാനിച്ചാൽ AWS ഡീകാപ്സുലേറ്റ് ചെയ്ത പാക്കറ്റ് അതിന് യോജിച്ച റൂട്ടിലൂടെ കൈമാറുന്നു. ആ ബിന്ദുവിൽ നിന്ന് ട്രാഫിക് സാധാരണ VPC ട്രാഫിക് ആണ്, VPN ന്റെ സംരക്ഷണം അവസാനിച്ചു. ഇത് സേവനത്തിലെ വിടവല്ല; ഇതാണ് അതിർത്തിയുടെ അർത്ഥം, ചെക്ക്ലിസ്റ്റിലെ ഇനം അത് വ്യക്തമായി പറയുക എന്നതാണ്, "VPN എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു" എന്നതിന് "ഡാറ്റ ഒരറ്റം മുതൽ മറ്റേ അറ്റം വരെ എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു" എന്നതിന് പകരം നിൽക്കാൻ അനുവദിക്കാതെ.

ഇപ്പോൾ അകത്ത് എന്തായിരുന്നു എന്ന് പരിശോധിക്കുക. ആന്തരിക പാക്കറ്റ് പ്ലെയിൻ ടെക്സ്റ്റ് ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോൾ ആണെങ്കിൽ, മറ്റെന്തെങ്കിലും അത് എൻക്രിപ്റ്റ് ചെയ്യുന്നതുവരെ താഴേക്ക് ഒന്നും രഹസ്യത്വം ചേർക്കുന്നില്ല. ആന്തരിക പാക്കറ്റ് ഇതിനകം TLS സെഷൻ വഹിക്കുന്നുവെങ്കിൽ, പുറം IPsec നീക്കം ചെയ്യുന്നത് ആ സെഷനിൽ ഒന്നും മാറ്റുന്നില്ല: അത് സ്വന്തം അന്ത്യ ബിന്ദു വരെ സംരക്ഷിതമായി തുടരുന്നു, ആ അന്ത്യ ബിന്ദു എവിടെയായാലും.

സാധാരണ അമിത-തിരുത്ത് ഗേറ്റ്വേയ്ക്ക് പിന്നിലുള്ളതെല്ലാം തുറന്നതാണ് എന്ന് അനുമാനിക്കുന്നതാണ്. അങ്ങനെയല്ല. സേവന ഗതാഗതം, സംഭരണ എൻക്രിപ്ഷൻ, ആപ്ലിക്കേഷൻ TLS എന്നിവ വ്യത്യസ്ത വ്യവസ്ഥകളുള്ള വ്യത്യസ്ത സംവിധാനങ്ങളാണ്, ഓരോന്നും VPN ന്റെ ആകൃതിയിൽ നിന്ന് അനുമാനിക്കുന്നതിന് പകരം അതിന്റേതായ വ്യവസ്ഥകളിൽ വിലയിരുത്തണം. ACCEPT കാണിക്കുന്ന ഫ്ലോ ലോഗ് എൻട്രി റൂട്ടിംഗ് പ്രവർത്തിച്ചു എന്ന് തെളിയിക്കുന്നു, രഹസ്യത്വത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, ഈ ചെക്ക്ലിസ്റ്റ് തടയാൻ ഉദ്ദേശിക്കുന്നത് അതേ തെറ്റാണ്.

പരിശോധന 3: ഗേറ്റ്വേയ്ക്ക് പിന്നിൽ TLS അവസാനിപ്പിക്കുന്നത് എന്ത്

വിലാസമല്ല, ശ്രോതാവിനെ പിന്തുടരുക. ലോഡ് ബാലൻസർ അല്ലെങ്കിൽ പ്രോക്സി TLS അവസാനിപ്പിക്കുന്നുവെങ്കിൽ, നിങ്ങളുടെ ക്ലയന്റ് പിടിച്ചിരിക്കുന്ന കണക്ഷൻ അവിടെ അവസാനിക്കുന്നു, പ്രോക്സി ബാക്കെൻഡിലേക്ക് രണ്ടാമത്തെ കണക്ഷൻ തുറക്കുന്നു, അത് പ്ലെയിൻ ടെക്സ്റ്റോ വ്യത്യസ്ത വിശ്വാസ ശൃംഖലയുള്ള TLS ഓ ആകാം. സ്വകാര്യ IP വിലാസവും യോജിക്കുന്ന റൂട്ടും ആ രണ്ടാമത്തെ കണക്ഷനെക്കുറിച്ചുള്ള തെളിവല്ല.

നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ പ്രധാനമായ അന്ത്യ ബിന്ദു VPC യുടെ ഉള്ളിൽ നിന്ന് പരീക്ഷിക്കുക, ഒരിക്കൽ പരിഹരിച്ച IP യ്ക്ക് പകരം ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്ന പേരോടെ:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

അഭ്യർത്ഥന കടന്നുപോകുന്ന ഓരോ ഹോപ്പിനും ഇത് ആവർത്തിക്കുക. ക്ലയന്റിന് അഭിമുഖമായ പേരും ബാക്കെൻഡ് പേരും തമ്മിൽ ഉത്തരം വ്യത്യസ്തമാണെങ്കിൽ, VPN ഒരിക്കലും മൂടാത്ത കൃത്യമായ ആ ഭാഗം നിങ്ങൾ കണ്ടെത്തി, അതാണ് എഴുതേണ്ട കണ്ടെത്തൽ.

ഫലം വിധിയായി അല്ല, ഭാഗങ്ങളായി രേഖപ്പെടുത്തുക

ഈ ചെക്ക്ലിസ്റ്റിന്റെ ഔട്ട്പുട്ട് ഓരോ ഭാഗത്തിനും ഒരു വരിയുള്ള ചെറിയ പട്ടികയാണ്: ഉപഭോക്തൃ ഗേറ്റ്വേയിൽ നിന്ന് AWS VPN ലക്ഷ്യം വരെ, ഗേറ്റ്വേയിൽ നിന്ന് വർക്ക്ലോഡ് വരെ, വർക്ക്ലോഡിൽ നിന്ന് ഡാറ്റ സ്റ്റോർ വരെ, ഇടയിൽ ഏതെങ്കിലും പ്രോക്സി ഹോപ്പ്. ഓരോ വരിയും അതിനെ എന്ത് സംരക്ഷിക്കുന്നു, ആ സംരക്ഷണം എന്തിനെ ആശ്രയിച്ചിരിക്കുന്നു എന്ന് പറയുന്നു. സംവിധാനവും അന്ത്യ ബിന്ദുവും ഇല്ലാത്ത "എൻക്രിപ്റ്റ് ചെയ്തത്" ഒരു വരിയല്ല.

പിന്നീട് യഥാർത്ഥ ആവശ്യകതയോട് അത് ചോദിച്ച അതേ പദങ്ങളിൽ ഉത്തരം നൽകുക. വർക്ക്ലോഡ് അത് സ്വീകരിക്കുന്നതുവരെ ഡാറ്റ രഹസ്യമായിരിക്കണം എന്നതാണ് ആവശ്യകതയെങ്കിൽ, VPN ആദ്യ ഭാഗം മാത്രം നിറവേറ്റുന്നു, ബാക്കിയുള്ള വരികൾക്ക് ആപ്ലിക്കേഷൻ ഗതാഗതം, സേവന TLS അല്ലെങ്കിൽ സംഭരണ എൻക്രിപ്ഷൻ വെവ്വേറെ കോൺഫിഗർ ചെയ്ത് പരിശോധിക്കണം.

കണക്ഷൻ ഐഡന്റിഫയറുകൾ, ടണലുകളുടെ അവസ്ഥ, സർട്ടിഫിക്കറ്റ് വിഷയങ്ങൾ എന്നിവ രേഖയിൽ സൂക്ഷിക്കുക. ആറ് മാസത്തിന് ശേഷം ആരെങ്കിലും ഡിസൈനിലേക്ക് മടങ്ങുമ്പോൾ, ആ മൂന്ന് കലാസൃഷ്ടികൾ ഡയഗ്രാമിൽ നിന്ന് വീണ്ടും തർക്കം തുടങ്ങാതെ മിനിറ്റുകൾക്കുള്ളിൽ അതിർത്തി ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.