EC2 дээрх Access Server-ийн бүрэн туннель: яагаад нэг чекбокс хангалтгүй вэ

EC2 инстанс дээр эх үүсвэр болон очих газрын шалгалтыг унтраах нь Access Server-ийн интернэт гарц тухай асуултад хамгийн их давтагддаг хариулт бөгөөд дангаараа таны харилцагчдад юу ч хийхгүй. Шалгалт нь AWS-ийн дамжуулалтын хязгаарлалт: инстанст эх үүсвэр эсвэл очих газар нь өөрийн хаяг биш пакетуудыг хүлээн авах боломж олгоно. Энэ нь Access Server-ийн харилцагчид интернэт трафикийг туннелээр дамжуулахыг хэлэхгүй, дээш чиглэсэн зам үүсгэхгүй, NAT нэмэхгүй. Чекбокс нь өөрөө боломж гэдэг нь домог юм.

Шалгалт үнэндээ юуг удирддаг вэ

EC2-ийн сүлжээний интерфэйс бүр өөрт нь хаяглагдаагүй трафикийг хаядаг, хэрэв инстанс чиглүүлэгч, NAT төхөөрөмж эсвэл VPN гарц болж ажиллаж, та тэр шалгалтыг унтраагаагүй бол. Унтраах нь дамжуулах зөвшөөрөл өгнө. Зөвшөөрөл нь тохиргоо биш: инстанст интернэт гарц эсвэл NAT төхөөрөмж рүү зам хэрэгтэй хэвээр, VPC-ийн замын хүснэгтэд тохирох бичлэг хэрэгтэй хэвээр, аюулгүй байдлын бүлгүүд урсгалыг зөвшөөрөх ёстой хэвээр, сервер буцах трафикийг хөрвүүлэх эсвэл чиглүүлэх ёстой хэвээр.

Ямар нэг зүйлийг өөрчлөхөөс өмнө одоогийн утгыг aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck ашиглан шалгаарай. Хэрэв та консол дээр өөрчилбөл, харилцагч интернэтэд хүрэхгүй байгаа учраас биш, инстанс бусдын өмнөөс дамжуулж байгаа учраас өөрчил.

Харилцагчийн чиглүүлэлтийн бодлого Access Server-д хамаарна

Access Server 3 дотор Access Controls-ыг нээж, Internet Access and DNS хэсгийг ол. Internet Gateway сонголт бүрэн эсвэл хуваагдсан туннель санал болгоно; бүрэн туннель харилцагчид үндсэн трафикаа VPN дотор чиглүүлэхийг хэлнэ, хуваагдсан туннель интернэт трафикийг харилцагчийн локал зам дээр үлдээнэ. Бүтээгдэхүүний ажлын урсгалаар хадгалаад хэрэгжүүл, дараа нь туршилтын харилцагчийг дахин холбо, учир нь бодлого холбогдох үед хүргэгддэг.

Хуучин хувилбарууд өөр цэс ашигладаг бөгөөд зарим Community OpenVPN бүтээцэд ижил удирдлага байхгүй. Байхгүй дэлгэц хайхаас өмнө суулгасан үндсэн хувилбарыг шалга. Дараа нь харилцагч юу авсныг батал: бүрэн туннелийн профайл туннелээр дамжин үндсэн зам суулгах ёстой, хуваагдсан туннелийн профайл тийм биш.

Туннелийн дараа пакетыг хяна

Харилцагч интернэт трафикийг туннель рүү илгээсний дараа сервер түүнийг дамжуулж, ихэвчлэн хөрвүүлэх ёстой. Access Server өөрийн NAT болон чиглүүлэлтийн дүрмийг удирддаг тул үүсгэсэн файлууд руу Community OpenVPN дүрэм нэмэхийн оронд бодит тохиргоог унш; удирдлагагүй дүрмүүд дараагийн бүтээгдэхүүний шинэчлэлтэд дарж бичигдэх эсвэл зөрчилдөх болно. sudo iptables -t nat -L -n -v эсвэл nftables-ийн ижил утга нь үнэндээ юу хөрвүүлэгдэж байгааг харуулна.

AWS тал нь тусдаа зам. Нийтийн дэд сүлжээний инстанс интернэт гарц руу шууд хүрч, нийтийн хаяг эсвэл уян хатан IP-гээ хадгална. Хувийн дэд сүлжээний инстанст NAT гарц эсвэл NAT инстанс руу зам хэрэгтэй, NAT төхөөрөмжид өөрийн интернэт гарц руу зам хэрэгтэй. Интернэт гарцыг VPC-д холбох нь өөрөө ямар ч хувийн эх үүсвэрт нийтийн буцах хаяг өгөхгүй, ийм учраас ижил Access Server тохиргоо нэг дэд сүлжээнд ажиллаж, нөгөөд нь чимээгүй бүтэлгүйтдэг.

Инстансын дэд сүлжээнд холбогдсон замын хүснэгтийг шалга, зөвхөн VPC-ийн үндсэн хүснэгтийг биш. Дэд сүлжээний холбоо үндсэн хүснэгтээс давамгайлдаг бөгөөд хуучирсан холбоо нь ажиллаж байсан тохиргоо дахин бүтээсний дараа зогсох нийтлэг шалтгаан.

IP гарц ба DNS-ийг тусдаа бариарай

Эхлээд хаягийн литерал, дараа нь нэрийг нэг харилцагчийн аппаас туршаарай. Хэрэв curl -4 https://checkip.amazonaws.com нийтийн хаяг буцааж байтал хостын нэр бүтэлгүйтвэл туннель ба NAT зам ажиллаж байгаа бөгөөд асуудал DNS-д байна: илгээсэн шийдэгч, харилцагчийн шийдэгчийн төлөв, эсвэл шийдэгчийг хааж буй аюулгүй байдлын бүлэг. Access Server-ийн DNS тохиргоо мөн Internet Access бүсэд байдаг ч тэд өөр кодын замаар явдаг.

Буцаасан хаягийг таны зорьсон гарцтай харьцуул. Хэрэв энэ нь инстансын нийтийн хаяг бол трафикийг инстанс хөрвүүлж байна; хэрэв NAT гарцын хаяг бол хувийн дэд сүлжээний зам ашиглагдаж байна. Хоёулаа зөв байж болно. Та баталж чадахгүй зүйл нь сервер дээрх хөтөч харилцагчийн дамжуулалтыг нотолдог гэдэг.

Нэг чекбокс мөрдөн шалгалтыг хаахыг бүү зөвшөөр

IPv6 нь тусдаа шийдвэр. IPv4-ийн бүрэн туннелийн бодлого IPv6 тээгдэх, хаагдах эсвэл алдагдах тухай юу ч хэлэхгүй бөгөөд хос стект харилцагч IPv4 туннель дотор байхдаа өөрийн локал IPv6 замыг үргэлжлүүлэн ашиглаж болно. Танд үнэхээр чухал хаягийн гэр бүлийг туршаад, нөгөөг нь унтраах эсэхийг тодорхой шийд.

Эцэст нь салгагдсан төлөвийг туршаарай. Бүрэн туннелийн сонголт нь холбогдсон үеийн чиглүүлэлтийн бодлогыг тодорхойлдог, туннель унах үед юу болохыг биш. Хэрэв шаардлага нь VPN-ээс гадна ямар ч трафик зугтахгүй байх бол тэр нь kill-switch болон галын хананы асуудал бөгөөд замын хүснэгтээс дүгнэхээс илүү өөрийн туршилт шаарддаг.