AWS-ന്റെ NAT ഗേറ്റ്‌വേ VPN-ലേക്ക് ഏത് ഉറവിട IP ഉപയോഗിക്കുന്നു?

പങ്കാളി സൈറ്റ്-ടു-സൈറ്റ് VPN വഴി ഏത് ഉറവിട ശ്രേണിയാണ് വരിക എന്ന് ചോദിച്ചതിനാൽ നിങ്ങൾ VPC കൺസോൾ തുറക്കുന്നു. NAT ഗേറ്റ്‌വേ പേജ് Elastic IP ഘടിപ്പിച്ച ഒരു പൊതു ഗേറ്റ്‌വേ കാണിക്കുന്നു, ആ വിലാസം അയച്ച് മുന്നോട്ട് പോകാനുള്ള പ്രലോഭനം ഉണ്ടാകും. ഇന്റർനെറ്റ് പാതയ്ക്ക് ഇത് ശരിയായ ഉത്തരമാണ്, VPN പാതയ്ക്ക് തെറ്റായ ഉത്തരവും, വ്യത്യാസം റൂട്ട് ടേബിൾ ഏത് ഗേറ്റ്‌വേയിലേക്കാണ് ചൂണ്ടുന്നത് എന്നതിലാണ്. അനുവദനീയ പട്ടിക എഴുതുന്നതിന് മുമ്പ് പാത നടന്നു നോക്കുക.

അനുവദനീയ പട്ടികയിൽ നിന്നല്ല, NAT ഗേറ്റ്‌വേ പേജിൽ നിന്ന് തുടങ്ങുക

NAT ഗേറ്റ്‌വേ പേജ് നിങ്ങൾക്ക് സബ്നെറ്റ്, തരം, Elastic IP എന്നിവ പറയുന്നു, ഈ മൂന്ന് ഫീൽഡുകൾ തുടങ്ങാൻ മതിയാകും. അത് പറയാത്തത് ട്രാഫിക് പിന്നീട് പോകുന്ന പാതയാണ്. അത് NAT ഗേറ്റ്‌വേയുടെ സബ്നെറ്റിലേക്ക് ഘടിപ്പിച്ച റൂട്ട് ടേബിളുകളിൽ നിന്ന് വരുന്നു.

ആദ്യം തരം വായിക്കുക, കാരണം പൊതുവോ സ്വകാര്യമോ എന്നത് ചങ്ങലയിൽ പിന്നീട് ഇന്റർനെറ്റ് ഗേറ്റ്‌വേ വരുമോ എന്ന് തീരുമാനിക്കുന്നു. പിന്നെ സബ്നെറ്റ് വായിക്കുക, കാരണം രണ്ടാം പാത അവിടെയാണ്.

രണ്ട് പരിവർത്തനങ്ങൾ പിന്തുടരുക

പൊതുവും സ്വകാര്യവുമായ NAT ഗേറ്റ്‌വേകൾ പ്രവൃത്തിഭാരത്തിന്റെ സ്വകാര്യ IPv4 ഉറവിടത്തെ NAT ഗേറ്റ്‌വേയുടെ സ്വന്തം സ്വകാര്യ IPv4 വിലാസത്തിലേക്ക് പരിവർത്തനം ചെയ്യുന്നു. ഈ ആദ്യ പരിവർത്തനം തരം കണക്കിലെടുക്കാതെ സംഭവിക്കുന്നു. രണ്ടാം പരിവർത്തനമാണ് ആളുകൾ മറക്കുന്നത്: പൊതു NAT ഗേറ്റ്‌വേ ട്രാഫിക് ഇന്റർനെറ്റ് ഗേറ്റ്‌വേയ്ക്ക് കൈമാറുന്നു, അത് വിലാസത്തെ ഘടിപ്പിച്ച Elastic IP-യിലേക്ക് മാപ്പ് ചെയ്യുന്നു.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

സ്വകാര്യ പാതയിൽ ചങ്ങലയിൽ ഇന്റർനെറ്റ് ഗേറ്റ്‌വേ ഇല്ല. ട്രാഫിക് ട്രാൻസിറ്റ് ഗേറ്റ്‌വേയിലൂടെയോ വെർച്വൽ സ്വകാര്യ ഗേറ്റ്‌വേയിലൂടെയോ പുറത്തുപോകുമ്പോൾ, NAT ഗേറ്റ്‌വേ ഗൈഡ് NAT ഗേറ്റ്‌വേയുടെ സ്വകാര്യ വിലാസത്തെ ദൂരെയുള്ള വശം സ്വീകരിക്കുന്ന ഉറവിടമായി രേഖപ്പെടുത്തുന്നു. പങ്കാളി അനുവദിക്കേണ്ട വിലാസം അതാണ്, Elastic IP അല്ല.

VPN പാത സാധാരണയായി സ്വകാര്യ വിലാസം കാണിക്കുന്നു

10.20.1.0/24-ൽ ഉള്ള ഒരു പ്രവൃത്തിഭാരം പങ്കാളിയുടെ പ്രിഫിക്സിൽ എത്തുമ്പോൾ, പ്രവൃത്തിഭാര സബ്നെറ്റിന്റെ റൂട്ട് ടേബിൾ NAT ഗേറ്റ്‌വേയിലേക്കും NAT ഗേറ്റ്‌വേയുടെ സബ്നെറ്റിന്റെ റൂട്ട് ടേബിൾ സ്വകാര്യ ഗേറ്റ്‌വേ പാതയിലേക്കും ചൂണ്ടുന്നു. രണ്ട് ഹോപ്പുകളും പ്രധാനമാണ്, പങ്കാളി എന്ത് കാണുന്നു എന്നത് രണ്ടാമത്തേത് മാത്രം തീരുമാനിക്കുന്നു. NAT സബ്നെറ്റിന് VPN പാതയിലേക്ക് റൂട്ട് ഇല്ലെങ്കിൽ, പാക്കറ്റ് ഒരിക്കലും എത്തില്ല, അത് തെറ്റായ ഉറവിട വിലാസത്തിൽ നിന്ന് വ്യത്യസ്തമായ പരാജയമാണ്.

വിലാസങ്ങളെക്കുറിച്ച് സംസാരിക്കുന്നതിന് മുമ്പ് ആ രണ്ടാം പാത പരിശോധിക്കുക. ഇല്ലാത്ത റൂട്ടും തെറ്റായി റിപ്പോർട്ട് ചെയ്ത ഉറവിടവും ട്രാഫിക് കാണാത്ത ഒരു പങ്കാളിക്ക് ഒരുപോലെ തോന്നും.

രണ്ടാം പരിവർത്തനം ഉത്തരം മാറ്റുമ്പോൾ

AWS ട്രാൻസിറ്റ് ഗേറ്റ്‌വേ അറ്റാച്ച്മെന്റിൽ വ്യക്തവും ചേരുന്നതുമായ ഒന്നിനൊന്ന് NAT മാപ്പിംഗും വാഗ്ദാനം ചെയ്യുന്നു. ആ മാപ്പിംഗ് ദൂരെയുള്ള സേവനം കാണുന്നതിന് മുമ്പ് ഉറവിടത്തെ വീണ്ടും പരിവർത്തനം ചെയ്യാം, അത് റൂട്ട് ചെയ്യുന്ന മാത്രം സ്ഥിരസ്ഥിതി സ്വഭാവമല്ല. ബോധപൂർവം കോൺഫിഗർ ചെയ്യേണ്ടതിനാൽ, അപകടവശാൽ പാരമ്പര്യമായി ലഭിക്കുന്നതല്ല, ഡിസൈൻ ഒഴിവാക്കലായി കാണുക. നിങ്ങളുടെ ടീമിൽ ആരും അത് ഓൺ ചെയ്തതായി ഓർക്കുന്നില്ലെങ്കിൽ, അറ്റാച്ച്മെന്റ് വായിക്കുന്നതുവരെ അത് ഇല്ലെന്ന് കരുതുക.

നിങ്ങളുടെ ഡിസൈൻ അത് ഉപയോഗിക്കുന്നുവെങ്കിൽ, അനുവദനീയ പട്ടിക NAT ഗേറ്റ്‌വേയുടെ വിലാസമല്ല, അന്തിമ മാപ്പിംഗ് വിവരിക്കണം. ലഭ്യതാ പാതകൾക്കും ഇതേ മുൻകരുതൽ ബാധകമാണ്: നിരവധി ഗേറ്റ്‌വേ വിലാസങ്ങൾ പങ്കെടുക്കുമ്പോൾ പ്രതീക്ഷിക്കുന്ന ഉറവിട ഗണം യൂണിയനാണ്, ഒരു പ്രതിനിധി വിലാസമല്ല. ഓരോ വിലാസവും ഏത് പരിവർത്തനത്തിന്റേതാണെന്ന് എഴുതിവയ്ക്കുക, കാരണം ഉറവിടമില്ലാത്ത പട്ടിക പിന്നീട് ഓഡിറ്റ് ചെയ്യാൻ അസാധ്യമാണ്.

സ്വകാര്യ NAT ഗേറ്റ്‌വേയ്ക്ക് ഇന്റർനെറ്റ് ഗേറ്റ്‌വേയിലേക്ക് ചൂണ്ടി ഇന്റർനെറ്റ് സേവനം നൽകാനാവില്ല; അത്തരം ട്രാഫിക് ഉപേക്ഷിക്കപ്പെടുമെന്ന് AWS രേഖപ്പെടുത്തുന്നു. തരം മുഴുവൻ പാതയിൽ നിന്ന് തിരഞ്ഞെടുക്കുക, ആവശ്യകതയിലെ VPN എന്ന വാക്കിൽ നിന്നല്ല.

നിങ്ങളുടെ പങ്കാളിക്ക് പ്രവർത്തിക്കാനാകുന്ന കരാർ എഴുതുക

ഉപയോഗപ്രദമായ കരാറിന് നാല് ഭാഗങ്ങളുണ്ട്: ഒഴുക്കുകൾ ആരംഭിക്കുന്ന ദിശ, പങ്കാളി കാണുന്ന പരിവർത്തിത ഐഡന്റിറ്റി, ആ ഐഡന്റിറ്റിക്കുള്ള മടക്ക പാത, ബാധകമായ സംരക്ഷണ പരിധി. NAT ഗേറ്റ്‌വേ ഒഴുക്കുകൾ പിന്തുണയ്ക്കുന്ന ഉറവിട വശത്തുനിന്ന് ആരംഭിക്കുന്നു, അതിനാൽ ഇത് സ്വകാര്യ പ്രവൃത്തിഭാരം തുറന്നുകാട്ടാനുള്ള ഇൻബൗണ്ട് പോർട്ട് ഫോർവേഡിംഗ് സേവനമല്ല. അത് നേരത്തെ ഉറക്കെ പറയുന്നത് ഓരോ വശവും മറ്റേ വശം ആരംഭിച്ചു എന്ന് കരുതിയ ഡിസൈൻ അവലോകനം ഒഴിവാക്കുന്നു.

പരിവർത്തനം വിലാസ ഓവർലാപ്പിൽ നിന്നുള്ള ആശ്വാസവും പ്രവചനാത്മകമായ ഉറവിട നയവും വാങ്ങുന്നു, പങ്കാളിയുടെ ലോഗുകളിൽ വ്യക്തിഗത പ്രവൃത്തിഭാര ഐഡന്റിറ്റി നിങ്ങൾക്ക് നഷ്ടമാകുന്നു. ഓഡിറ്റിന് ഓരോ പ്രവൃത്തിഭാരത്തിനും ആട്രിബ്യൂഷൻ വേണമെങ്കിൽ, ആ ഐഡന്റിറ്റി പരിവർത്തിത ഉറവിട വിലാസത്തിൽ നിന്ന് വീണ്ടെടുക്കാൻ ശ്രമിക്കാതെ ആപ്ലിക്കേഷൻ പാളിയിൽ സൂക്ഷിക്കുക.

പിന്നീട് ഏത് മാറ്റത്തിനും ശേഷം രണ്ട് റൂട്ട് ടേബിളുകളും വീണ്ടും പരിശോധിക്കുക, കാരണം പുതിയ അറ്റാച്ച്മെന്റോ വീണ്ടും ബന്ധിപ്പിച്ച സബ്നെറ്റോ ഉത്തരം നിശബ്ദമായി വീണ്ടും എഴുതുന്നു.