AWS Client VPN эсвэл bastion: peered VPC-д хүрэх
Хоёр зам хоёулаа ажилладаг ч өөр өөр газар эвдэрдэг. Endpoint маршрут, буцах маршрутлалт, bastion шударга хил болох гурван тохиолдлыг харьцуулна уу.
Нэг Client VPN endpoint нь өөрийн холбогдсон VPC-тэй peering харилцаанд байгаа VPC-д хүрч чадна, үүнийг хууль ёсны болгохын тулд bastion шаардлагагүй. Хийх нь зүйтэй сонголт бол урсгал хаана гар солилцох вэ: association дэд сүлжээнд буух ба peering холболтыг гатлах endpoint маршрут, эсвэл peered VPC дотор сессийг дуусгах host. Хоёр зам хоёулаа ажилладаг ба өөр өөр газар бүтэлгүйтдэг тул шийдвэр нь AWS юу зөвшөөрдөг тухай биш, эзэмшил ба аудитын тухай. Би тэдний хооронд хэрхэн сонгодог, мөн маршрутлагдсан замыг ажиллуулдаг дөрвөн бүртгэлийг энд тайлбарлав.
Хоёр зам, нэг endpoint, өөр эзэд
Маршрутлагдсан замд клиентийн урсгал endpoint-д хүрч, association дэд сүлжээ дэх Client VPN сүлжээний интерфейсийн хаяг руу хөрвүүлэгдэж, A-аас B руу peering холболтоор тэр дэд сүлжээг орхино. VPC B нь ямар ч VPN сессийг дуусгахгүй; VPC A-аас ирж буй энгийн урсгалыг хардаг, тиймээс түүний буцах маршрут клиентийн pool биш VPC A руу чиглэнэ.
bastion замаар клиент эхлээд host-д хүрнэ. A дахь bastion сүүлийн үсрэлтийг peering холболтоор гатлуулснаар peering ажил хэвээр үлдэж, сесс нэмэгдэнэ. B дахь bastion мөн клиентээс зам шаардана, тэр зам нь мөн endpoint маршрут бол маршрутлагдсан загвар дээр нэг үсрэлт нэмэгдэнэ. bastion нь зөвхөн аль хэдийн байгаа, аль хэдийн зөвшөөрөгдсөн, арын зүйл нь сүлжээний хил биш сессийн хил шаарддаг үед л ажлыг хасна.
Дөрвөн бүртгэл маршрутлагдсан замыг ажиллуулна
AWS энэ хувилбарыг Client VPN how-it-works хуудсанд баримтжуулдаг бөгөөд практикт хоёр эсвэл гурван багийн эзэмшдэг дөрвөн бүртгэлд хүрдэг. Хүрээнүүд нь жишээ; peered хүрээ өвөрмөц байх ёстой, буцах хүрээ таны төлөвлөгөөтэй тохирох ёстой.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Маршрут ба зөвшөөрөл нь тусдаа хяналт юм. Тохирох зөвшөөрлийн дүрэмгүй зөв endpoint маршрут клиентэд юу ч өгөхгүй; endpoint маршрутлаж чадахгүй очих газарт зориулсан зөвшөөрлийн дүрэм түүнд хар нүх өгнө. Хоёулаа ижил хүрээг нэрлэх ёстой.
endpoint маршрут нь endpoint-ийн өөрийн VPC дахь дэд сүлжээ рүү чиглэдэг, хэзээ ч peering холболт руу биш. VPC маршрутын хүснэгтүүд peering холболт руу чиглэдэг, хэзээ ч instance эсвэл интерфейс руу биш. Хоёрын хооронд утга хуулах нь гомдолгүй хадгалагдаж, юу ч маршрутлахгүй.
association дэд сүлжээ клиентийн эх үүсвэрийг хөрвүүлдэг тул B нь клиентийн pool биш VPC A руу буцааж маршрутлах ёстой. Клиентийн хүрээг peering холболтоор дамжуулах нь тэгш хэмтэй харагдаж, хяналтад тэнцэж, чимээгүй бүтэлгүйтдэг, учир нь B хэзээ ч клиентийн эх үүсвэртэй пакет хардаггүй.
Аюулгүй байдлын бүлгүүд ба зөвшөөрлийн сүүлийн метр
Маршрутлалт пакетийг B-д хүргэдэг; B шийддэг хэвээр. Нэг бүс дэх идэвхтэй peering холболтын хувьд B дахь аюулгүй байдлын бүлэг Client VPN association-д хэрэглэсэн бүлэгт лавлах боломжтой бөгөөд энэ нь дүрмийг нарийн байлгаж, хаягийн өөрчлөлтийг тэсвэрлэдэг. Бүлгийн лавлагаа боломжгүй үед association дэд сүлжээний хүрээг тодорхой зөвшөөрч, 0.0.0.0/0 хүртэл өргөжүүлэхээс зайлсхий, учир нь энэ нь маршрутын алдааг тайлбаргүй timeout болгоно.
Дараа нь маршрутлалт хэзээ ч хүрдэггүй зүйлийг шалга: хоёр дэд сүлжээний сүлжээний ACL, програмын зөвшөөрөгдсөн жагсаалт эсвэл token-ийн үзэгчид, DNS. peering нь хувийн хостлогдсон бүсүүдийг хуулбарладаггүй тул зөөврийн компьютер шийдэж чадахгүй хаяг руу ажиллах маршрут барьж болно, peering холболт сертификатад итгэл нэмэхгүй. endpoint-ийг B-ийн төлөө хариу өгдөг resolver руу чиглүүлж, дараа нь хувийн нэр, сертификат таарч байгааг батал.
bastion шударга хариулт болох үед
Би bastion-ыг санаатай сонгох гурван триггер хадгалдаг. peered VPC нь таны хүрээнд буцах маршрут нэмэхгүй эсвэл бүлгийн лавлагаа хүлээж авахгүй багт хамаарна. Хандалт сесс бүрээр зөвшөөрөгдөх эсвэл бүртгэгдэх ёстой бөгөөд програм үүнийг өөрөө дааж чадахгүй. Эсвэл сүүлийн үсрэлт B-ийн дотор үлдэх ёстой, учир нь үйлчилгээ зөвхөн тэнд шийдэгдэж, TLS таних тэмдэг нь дотоод нэрэнд бэхлэгдсэн.
Эдгээрийн аль нь ч peering транзит биш гэдгийг тойрч гарах зүйл биш. Транзит бус байдал нь B дахь нөөцүүд юу хийж болохыг хязгаарладаг: тэд A-г A-тай peering харилцаанд байгаа гурав дахь VPC руу транзит болгон ашиглаж чадахгүй. Энэ нь VPN хэрэглэгч шууд peered VPC-д хүрч чадахгүй гэсэн үг хэзээ ч байгаагүй бөгөөд тэр буруу уншилтыг тойрохын тулд барьсан bastion нь шалтгаангүй засагддаг host юм.
Эсрэг алдаа цаг хугацааны явцад илүү үнэтэй: баг бүрийг аль хэдийн оршиж буй ганц bastion-оор дамжуулж, дараа нь түүний аюулгүй байдлын бүлэг, маршрутын хүснэгт, засварын цонх нь үйлдвэрлэлийн хамаарал гэдгийг олж мэд. host ямар триггерт үйлчилдгийг бичиж, триггер алга болоход түүнийг ашиглалтаас гарга.
Transit Gateway ба хэд хэдэн association тооцоог өөрчилнө
Хэрэв endpoint нь дэд сүлжээнд биш, шууд Transit Gateway-д холбогдсон бол загвар өөрчлөгдөнө: клиентүүд association дэд сүлжээ дэх интерфейсийн хаяг руу хөрвүүлэгдэхээ болих бөгөөд gateway маршрутын хүснэгтүүд клиентийн хүрээ болон peered VPC руу хөтлөх холболтыг хамт зөөх ёстой. Энэ нь масштабт илүү цэвэр боловч ажил дөрвөн бүртгэлээс gateway маршрутын хүснэгт рүү шилждэг.
Хэд хэдэн association шалгалтыг үржүүлнэ. endpoint маршрут endpoint-д хамаарах боловч association дэд сүлжээ бүр бодит peering дараагийн үсрэлттэй маршрутын хүснэгт шаардана. Сесс нэг association-аар амжилттай болж, нөгөөд буцах зам байхгүй байж болзошгүй тул тус бүрийг туршина уу.
Эвдрэлийг хурдан олдог шалгалтын дараалал
Эдгээрийг дарааллаар нь ажиллуул; алхам бүр дараагийнх нь бүтэлгүйтэх үед ч давж болох бөгөөд клиентийн timeout аль нь эвдэрснийг бараг хэлдэггүй.
- Клиентээс програмын нэрийг шийдэж, хаяг peered хүрээний дотор байгаа эсэхийг шалга.
- Холбогдож, дараа нь сессийг дуусгасан association-ийн endpoint холболтын логыг унш.
- Тэр association дэд сүлжээнд маршрутын хүснэгт peered хүрээг идэвхтэй peering холболт руу чиглүүлж байгааг батал.
- B дахь нөөцийн дэд сүлжээнд интерфейсийн хүрээний буцах бүртгэл болон тохирох бүлгийн дүрмийг батал.
- Нэг зөвшөөрөгдсөн үйлдэл болон хүрэх боломжгүй байх ёстой нэг нөөцийг турш; хоёр дахь нь дибагын үлдэгдлийг барьдаг.
- split-tunnel маршрутын аливаа өөрчлөлтийн дараа дахин холбогд, учир нь ажиллаж буй туннель шинэ маршрутын багцыг авахгүй.
Санаж үлдэх хоёр шинж тэмдэг бий. Хариугүй B-д хүрсэн SYN нь бараг үргэлж алга болсон буцах маршрут. Дууссан дараа дахин тохируулагддаг холболт нь ихэвчлэн бүлэг, ACL эсвэл програм. Аль нь ч endpoint логт шалтгаан болж харагдахгүй тул дөрвөн бүртгэлийг тус бүрийн хажууд эзэнтэй нь хадгал.
Гурван триггерийн аль нь ч үйлчлэхгүй бол маршрутлагдсан замыг дуусгаж, тэдгээр дөрвөн бүртгэлийг бич. Нэг нь үйлчилбэл bastion-ыг зөвхөн тэр хилд үлдээж, endpoint маршрутыг урд нь сесс шаарддаггүй үйлчилгээнд үлдээ.