AWS Client VPN хуваагдсан туннел: ямар маршрутыг нийтлэх вэ

Консол хуваагдсан туннелийн шилжүүлэгчийг санал болгодог тул шийдвэр чагтласан нүд мэт санагддаг. Гэхдээ тийм биш. Клиентэд үнэндээ хүрэх зүйл бол төгсгөлийн цэгийн нийтэлсэн маршрутын багц бөгөөд энэ жагсаалт аль хувийн префиксүүд туннелийг ашиглах, ерөнхий интернэт трафик локал үлдэх эсвэл AWS-ээр гарах, клиент аль resolver-тэй одоо ч ярьж чадахыг тодорхойлдог. Гурван асуулт дизайныг шийддэг бөгөөд аливаад холболт амжилттай байх үед ч буруу хариулж болно.

Хуваагдсан туннелийн туг нь очих газрын жагсаалт биш

AWS хуваагдсан туннелийг холболт тогтоох үед төгсгөлийн цэгийн маршрутуудыг клиентийн маршрутын хүснэгтэд нэмэх гэж тайлбарладаг. Хувийн VPC-ийн маршрут туннелийг тэр очих газарт хязгаарлана; бусад бүхэн клиентийн ердийн замаар явна. Өгөгдмөл маршрут нь өөр нөлөөтэй өөр заавар тул хуваагдсан туннелийн баримт бичиг энэ горимд тохируулсан төгсгөлийн цэг дээр 0.0.0.0/0 нийтлэхээс сэрэмжлүүлдэг: энэ нь холболтыг өргөжүүлэхийн оронд ихэвчлэн эвддэг. Төгсгөлийн цэгийн маршрутын хүснэгт бол бодлого, клиентийн маршрутын хүснэгт бол шалгаж болох үр дүн.

Төгсгөлийн цэгийн маршрутын хүснэгт болон клиент дээр суулгасан маршрутуудыг хамт уншина. Шошго нь санаачилгыг дүрсэлдэг; маршрутууд нь юу болохыг дүрсэлдэг.

Эхний шийдвэр: ерөнхий интернэт трафик локал үлдэх ёстой юу?

Хэрэв вэб үзэх нь хэрэглэгчийн өөрийн холболтыг ашиглах ёстой бол ажилд хэрэгтэй хувийн очих газруудыг л нийтэлж, тэнд зогсоо. Бүрэн туннелийн зааварт нэг байсан болохоор интернэт маршрут нэмэх хэрэггүй бөгөөд нэмэлт маршрут аюулгүй байдлыг сайжруулна гэж бүү бод. Энэ нь замыг өөрчилдөг, бодлого нэмдэггүй, ихэвчлэн төлөвлөөгүй саатал авчирдаг.

Хэрэв интернэт трафик AWS-ээр гарах ёстой бол баримтжуулсан интернэт хандалтын архитектурыг байгуул: төгсгөлийн цэгийн маршрут, зөвшөөрлийн дүрэм, холбоотой дэд сүлжээний зам, аюулгүй байдлын бодлого, ажилладаг дээд гаралт. Зөвхөн өгөгдмөл маршрут эдгээрийн аль нэгийг ч өгөхгүй.

Хоёр дахь шийдвэр: ямар хувийн префиксүүд, хэний зөвшөөрлөөр?

Бодит ачаалалд үйлчилдэг хамгийн бага очих газрын багцыг нийтэлж, холбоотой дэд сүлжээ бүр тэдэн уруу маршрутлах боломжтойг шалга. Төгсгөлийн цэгийн маршрутын зорилт ба дэд сүлжээний VPC маршрутлалт нь өөр давхарга бөгөөд нэгэнд байгаа маршрут нөгөөгийн баталгаа биш. Зөвшөөрөл дахин тусдаа: очих газар хүрч болох ч, клиентийн бүлэгт зөвшөөрөх дүрэм байхгүй тул татгалзаж болно.

Нэг амжилттай сессийг турших нь нэг замыг л батална. Холбоотой дэд сүлжээ бүрийг шалга, учир нь дараа нь нэмсэн дэд сүлжээний холболт нь алга болсон маршрут ихэвчлэн байдаг газар.

Очих газрыг нэрээр хүрэх шаардлагатай үед дараагийн асуулт нь маршрут биш, нэрийн шийдэл гэдгийг анхаар.

Гурав дахь шийдвэр: ямар resolver туннелийг дагах вэ?

Клиент зөвхөн VPN-ээр хүрэх DNS сервер авч болох бөгөөд тэр resolver нь өөрийн хаяг нь зөвшөөрөгдсөн маршрутын дотор байвал л ажиллана. Хоёр талыг шалга: resolver-ийн хаяг нийтэлсэн маршрутыг дагаж байгаа, сервер нь програмын асуудаг нэрүүдэд хариулж байгаа. Хаягаар амжилттай боловч хост нэрээр бүтэлгүйтэх хүсэлт нь маршрутлал биш, нэршил рүү заана, тэр үед туннелийг дибаг хийх нь үдээс хойшийг үрэгдүүлнэ.

Нийтийн нэрс холболтын өмнөх шиг шийдэгдэх ёстой бөгөөд энэ нь юу нийтэлж байгаа талаар нарийвчлалтай байх өөр нэг шалтгаан.

Маршрутын багцыг өөрчил, дараа нь хоёр ертөнцийг шалга

AWS хуваагдсан туннелийн төгсгөлийн цэг дээр маршрут өөрчлөх нь клиентийн холболтыг дахин тохируулдаг гэж баримтжуулдаг. Өөрчлөлтийг үүнийг санаж төлөвлө: хэрэгжүүл, дэмжигдсэн клиентээр дахин холбогд, засварын өмнө хэрэгжсэн төлөвт итгэхийн оронд суулгасан маршрутуудыг дахин унш. Хуучирсан хэрэгжсэн төлөв нь зөв өөрчлөлт эвдэрсэн мэт харагдах хамгийн түгээмэл шалтгаан.

Дизайныг нэг хувийн нөөц, нэг нийтийн очих газар хоёулаа зориудын адил ажиллаж, нэрээр болон хаягаар, таны үнэхээр дэмждэг хаягийн гэр бүлд байх үед л хүлээн ав. Баталгаажуулалт хийдэг туннель зөв хуваадаг туннельтай ижил биш.

Маршрутын жагсаалтыг үндэслэлийн хажууд runbook-т бич, дараагийн хүн санаатай хасалтыг мартагдсанаас ялгаж чадахын тулд.