AWS Client VPN-ээр тасалдалтай нэвтрэх: холбогдсон дэд сүлжээ бүрийг шалгаарай

Нэг хэрэглэгч холбогдож, дотоод аппыг нээж хариу авдаг; мөн төгсгөлийн цэг дээрх хамтран ажилтан мөн Wi-Fi дээрх ижил зөөврийн компьютерээс хугацаа хэтэрсэн хариу авдаг. Энэ хэв маяг нь нэгээс олон холбогдсон дэд сүлжээтэй client VPN төгсгөлийн цэгийн шинж бөгөөд зам нь тэнцүү биш юм. Би үүнийг консолоос гадагш дараалан шалгадаг, учир нь үлдсэн шалгалт үнэ цэнэтэй эсэхийг хоёр таб шийддэг. Клиентийн тохиргоонд үүнийг тайлбарлах зүйл байхгүй.

Төгсгөлийн цэгээс эхэлж холбоог жагсаана уу

VPC консол дээр Client VPN endpoints-ийг нээж, төгсгөлийн цэгийг сонгоод Associations табыг уншина уу. Холбоо бүр нь боломжит байдлын бүс дэх дэд сүлжээ бөгөөд холболт үүсэх үед үйлчилгээний сонгосон дэд сүлжээнд клиент буудаг. Дэд сүлжээний ID болон тус бүрийн бодитоор ашигладаг маршрутын хүснэгтийг тэмдэглээрэй, учир нь тэр хоёр жагсаалт нь таны хийх харьцуулалт юм.

Хэрэв төгсгөлийн цэг зөвхөн нэг холбоо харуулж байвал энэ онол буруу бөгөөд клиент нь илүү сайн сэжиглэгдэгч юм.

Төгсгөлийн цэгийн маршрутын хүснэгтийг холбоо бүртэй харьцуулна уу

Мөн төгсгөлийн цэг дээр Route table табыг нээнэ үү. Тэндхийн очих газрын CIDR бүр зорилготой бөгөөд client VPN-д зорилго нь гарц биш, холбоо юм. AWS холбогдсон дэд сүлжээ бүрт очих газрын бичлэг шаарддаг тул зөвхөн нэг рүү нь чиглэсэн маршрут нэвтрэлтийг сесс хаана бууснаас хамааруулдаг. Танд үнэхээр чухал очих газрыг шалгаад, дараа нь түүний зөвшөөрлийн дүрмийг шалгаарай, учир нь маршрут замыг өгдөг, дүрэм хэн ашиглаж болохыг шийддэг.

Хоёр давхаргыг хүснэгтэд оруулсны дараа алдааг анзаарахгүй байх хэцүү.

Ихэнх тасалбарын хувьд хоёр дахь мөр нь бүх алдаа юм. Төгсгөлийн цэгийн маршрут байгаа тул хэн ч цааш хардаггүй, пакет нэг үсрэлтийн дараа VPC дотор үхдэг.

Дэд сүлжээ бүрийг түүний үйлчилж буй маршрутын хүснэгт хүртэл дагаарай

Маршрутын хүснэгтийн тодорхой холбоогүй дэд сүлжээ VPC-ийн үндсэн хүснэгтийг өвлөнө. Бодитоор хүчинтэй хүснэгтийг уншаарай, нэр нь зөв харагдах хүснэгтийг биш, мөрийн шошгыг бус очих газар болон зорилгыг харьцуулна уу.

AWS-ийн тасалдалтай нэвтрэх гарын авлага үүнийг холбоонуудын даяар маршрутын хамрах хүрээ гэж тайлбарладаг бөгөөд энэ нь зөв загвар юм. Төгсгөлийн цэг пакетыг дэд сүлжээнд хүргэдэг бөгөөд тэр дэд сүлжээний хүснэгт аппын сүлжээ хаана байгааг мэдэх ёстой хэвээр.

Дутуу мөрийг түүнийг эзэмшиж буй хүснэгтэд засаарай. Ажиллаж буй дэд сүлжээнээс бүхэл маршрутын хүснэгтийг хуулах нь энэ дэд сүлжээнд хэзээ ч зориулагдаагүй интернэт, төхөөрөмж, тусгаарлалтын сонголтыг ч хуулна, энэ солилцоо нь ихэвчлэн таны эхэлсэн тасалдалаас дор байдаг.

Зөвшөөрлийн дүрмийг, дараа нь буцах замыг шалгана уу

Зөвшөөрлийн дүрэм нь очих газар, бүлэг тус бүрээр байдаг бөгөөд маршрутаас тусдаа үнэлэгддэг. Хаа сайгүй маршруттай боловч хэрэглэгчийн бүлэгт дүрэмгүй очих газар эрүүл харагдах маршрутын хүснэгттэй хар нүх мэт ажилладаг.

Буцах зам ч мөн адил анхаарал харьцуулна. Peering холболтод аппын VPC-д клиентийн CIDR рүү буцах маршрут, хоёр төгсгөлд трафикийг зөвшөөрөх аюулгүй байдлын бүлгийн дүрэм, түүнийг хаяхгүй сүлжээний ACL хэрэгтэй. Нэг чиглэлийн хүртээмж, өөрөөр хэлбэл ping ажилладаг ч TCP гар барилт ажиллахгүй байх нь ихэвчлэн VPN биш, ACL эсвэл аюулгүй байдлын бүлэг рүү заадаг.

Төгсгөлийн цэгийн өөрийн аюулгүй байдлын бүлгүүд холбооны уян хатан сүлжээний интерфейс дээр байдаг тул клиентийн CIDR-ээс аппын портыг зөвшөөрөх дүрмийг зөвхөн инстанс биш, холбоонд хавсаргах ёстой.

Нэг азтай хүсэлтээр биш, дахин холбогдож шалгаарай

Split tunnel үед холболт тогтоох үед төгсгөлийн цэгийн маршрутууд илгээгддэг, тиймээс өөрчлөгдсөн маршрутын багц холбогдсон хэвээр байгаа клиентэд хэзээ ч хүрдэггүй. Дэмжигдсэн клиентээр салгаад дахин холбогдоод, шинэ маршрутууд машин дээр байгаа эсэхийг баталгаажуулаарай.

Эцэст нь холболтын логыг клиентийн авсан хаягтай уялдуулж, нэгээс олон холбоонд хүрэхээр хангалттай удаа туршилтыг давтаарай. Засварын дараах нэг амжилттай хүсэлт нэг зам ажиллаж байгааг нотолдог бөгөөд тасалбар нөгөө тухай байсан.