EC2 бэлэн байдлын бүсүүдэд: VPN-ээс өмнө чиглүүлэлтийг шалга
Нэг VPC дахь хоёр EC2 инстанс бүсүүдийн хооронд хувийн чиглүүлэлтийг аль хэдийн хуваалцдаг. Өөр туннель нэмэхийн өмнө дэд сүлжээний хүснэгтүүд болон хандалтын дүрмийг шалгаарай.
Хоёр EC2 инстансын хооронд VPN програм хангамж суулгахын өмнө нэг асуултад хариул: тэд нэг VPC-д байна уу? Хэрэв тийм бол хувийн зам аль хэдийн байгаа бөгөөд бүсүүдийн хооронд байрлуулах нь үүнийг өөрчлөхгүй. Энэ нөхцөлд ажлын ихэнх хэсэг нь дэд сүлжээ бүр яг ямар чиглүүлэлтийн хүснэгт ашиглаж байгааг бататгах, дараа нь эвдрэл нь ерөнхийдөө чиглүүлэлтийн асуудал байсан эсэхийг олж мэдэх явдал юм. Энэ тодорхой асуултад туннель ихэвчлэн буруу хариулт болдог.
Шалгалт 1: нэг VPC эсвэл өөр VPC
VPC нь бүс нутгийн шинжтэй бөгөөд бэлэн байдлын бүсүүдийг хамардаг, харин дэд сүлжээ бүр яг нэг бүст харьяалагддаг. Нэг VPC-ийн өөр өөр бүс дэх хоёр инстанс хувийн чиглүүлэлтийн нэг домайн дотор хэвээр байна.
Өөр VPC-үүд зөвхөн бүс нутаг эсвэл бүсийн шошгыг хуваалцсан учраас хэзээ ч хувийн маршрут авдаггүй. Ийм тохиолдол дэмжигдсэн холболт болон маршрут, зөвшөөрлийн өөрийн ажил шаарддаг бөгөөд энэ нь тусдаа шийдвэр юм.
Шалгалт 2: дэд сүлжээний чиглүүлэлтийн хүснэгтүүд юу гэж хэлдэг
Байршлыг бодит утгуудаар бич. VPC 10.60.0.0/16 хаяг дээр, дэд сүлжээнүүд 10.60.1.0/24 болон 10.60.2.0/24 байвал инстансуудад 10.60.1.10 болон 10.60.2.20 VPC-ийн локал маршрутаар зам өгнө.
Дараа нь эхлээд олсон хүснэгтийг бус, хоёр дэд сүлжээтэй холбоотой хүснэгтүүдийг шалга. Илүү тодорхой шалгалтын эсвэл төхөөрөмжийн маршрут суурь маршрутыг дарж болох бөгөөд локал маршрутын зорилт өөрөө шинэ тохиргоонд солигдож болно. Консолд хаа нэгтээ харагдах локал маршрут нь хоёр ажлын ачаалал түүнийг ашиглаж байгааг нотлохгүй.
VPC-ийн үнэхээр олгож буй хувийн хаяг, нэрсийг ашигла. Хувийн хаяг 10-аар эхлэх албагүй, санаанаас нэгийг зохиох нь ажиллаж буй орчинд буруу онош тавих арга юм.
Шалгалт 3: чиглүүлэлт эсвэл зөвшөөрөл
Чиглүүлэлт пакетыг зорилтын сүлжээний интерфэйс хүртэл л хүргэдэг. Зорилтын аюулгүй байдлын бүлэг эх сурвалж болон үйлчилгээг зөвшөөрөх шаардлагатай хэвээр, эх сурвалжийн гарах дүрэм хүсэлтийг зөвшөөрөх ёстой, ямар ч сүлжээний ACL хоёр чиглэлийг зөвшөөрөх ёстой, учир нь ACL төлөвийг хадгалдаггүй.
Түүний цаана зочны галт хана, сонсогчийн холболт болон програмын өөрийн таних тэмдэг байна. Эдгээрийн аль нь ч чиглүүлэлтийн төгс хүргэсэн хүсэлтийг татгалзаж болно.
Хүлээн авалт нь програмын бодит үйлдэл байх ёстой. Амжилттай ping нь програмын хандалт өгөхгүй бөгөөд TLS нэр болон итгэмжлэл зөв гэдгийг нотлохгүй, хаагдсан ping нь бүх хувийн үйлчилгээ зогссоныг тогтоохгүй.
Шалгалт 4: тусдаа холболт үнэхээр шаардлагатай юу
VPN дизайнд багтах боломжтой хэвээр, гэхдээ заасан шалтгаанаар: энэ VPC-г оффистой холбох, зөөврийн компьютерүүдийг оруулах эсвэл давхаргын шаардлагыг биелүүлэх. Энэ шалтгаан нь нэг VPC доторх энгийн харилцаанаас өөр юм.
VPC юу биш гэдгийг ч сана. Энэ нь гэрийн Ethernet сегментийн өргөтгөл биш. Нэвтрүүлэх замаар илрүүлэхэд тулгуурладаг програмд үнэлэх тусдаа шаардлага бий. Энэ нь чиглүүлэлтийн алдаа биш, дизайны цоорхой юм.
Шалгалт 5: шифрлэлтийн асуулт
Хувийн хаяг болон зөвшөөрлийн дүрэм програмын түвшний криптограф хамгааллын талаар юу ч хэлдэггүй. Хэрэв өгөгдөлд төгсгөлөөс төгсгөл хүртэл хамгаалалт хэрэгтэй бол энэ нь үйлчилгээний үнэхээр дэмждэг протокол болон таних тэмдгийн загвараас ирдэг.
Дизайны тэмдэглэлд сүлжээний болон програмын түвшний мэдэгдлүүдийг тусдаа байлга, учир нь тэдгээрийг нэгтгэх нь хэн ч хэрэгжүүлээгүй хамгаалалтыг хяналт баталдаг болгодог.
Юу бүртгэх вэ
Хоёр дэд сүлжээний таних тэмдгийг, тус бүртэй холбоотой чиглүүлэлтийн хүснэгтийг, аюулгүй байдлын бүлгийн лавлагааг болон таны туршсан програмын үйлдлийг бүртгэ. Эдгээр нь дөрвөн баримт бөгөөд энэ замын талаарх ирээдүйн ихэнх маргааныг шийднэ.
Зөвхөн бүст байрлуулах нь танд хэзээ ч VPN нэмэхийг хэлдэггүй, хувийн хүсэлт яагаад бүтэлгүйтсэнийг ч хэзээ ч тайлбарладаггүй.