EC2 Elastic IP нь инстансын хувийн VPN хаяг биш

Инстанс хувийн хаягтай, Elastic IP түүнтэй холбогдсон, тэр нийтийн /32-ын маршрут VPN-д нэмэгддэг, хоёулаа нэг зүйл болно гэсэн найдвараар. Болохгүй. Elastic IP бол зочны гадна, интернэт гарцаар, интернэт замаар явж буй трафик дээр хийгддэг орчуулга юм. Зочны үйлдлийн систем тэр хаягийг ямар ч интерфейс дээр тохируулсан байдлаар хэзээ ч хардаггүй. Үүнийг туннель интерфейс дээр нэмэх нь дээд шатны орчуулгыг давтахгүй бөгөөд нэг машинд зориулж хоёр дахь, зөрчилтэй таних тэмдэг үүсгэдэг.

Хоёр хаяг, нэг инстанс

Инстансын сүлжээний интерфейс VPC дотор хувийн хаяг хадгалдаг бөгөөд энэ нь зочин мэддэг хаяг юм. Elastic IP нь мөн интерфейстэй холбогдсон боловч зураглалын нийтийн талд амьдардаг.

Интернэтээр инстанс руу хүрэх бүхэн хувийн хаяг руу орчуулагдсан байдлаар ирдэг. Инстанс интернэт рүү илгээх бүхэн Elastic IP-г эх сурвалж болгон гардаг, дахин тэр орчуулгын улмаас.

Зочны дотор нэг хаяг байдаг. Гадна хоёр байдаг. Энэ тэгш бус байдал нь энэ салбарын ихэнх будлианыг тайлбарладаг. Зочин гарц юу орчуулж байгааг тохируулж чадахгүй. Тэр зөвхөн өөрийн бодитоор эзэмшиж буй хаяг дээр хариулж чадна.

Интернэт гарц үнэндээ юу хийдэг вэ

AWS-ын интернэт гарцын баримт бичиг энэ зохицуулалтыг тайлбарладаг: инстанс өөрийн хувийн IPv4 хаягийг мэддэг бөгөөд гарц нь интернэт замын трафикт тохирох нийтийн IPv4 эсвэл Elastic IP орчуулгыг өгдөг.

Энэ бол сүлжээний хаягийн орчуулга, өөр нэр биш. Зураглалыг гарц хадгалдаг, энэ нь холбоост уягдсан бөгөөд зөвхөн түүгээр дамжин өнгөрөх пакетуудад хамаарна. Холбоосыг хасвал нийтийн таних тэмдэг нь зочинд юу ч мэдэгдэхгүйгээр алга болно.

Тиймээс нийтийн /32 руу хаягласан хувийн VPN пакетыг зочны локал хаяг руу явах хувийн пакет гэж дахин тайлбарладаггүй. Пакет нь тохирох маршрутыг дагадаг бөгөөд тэр нь түүнийг интернэт гарц руу илгээдэг, гарцын зан төлөв нь зам хоёр чиглэлд зөвшөөрөгдсөн эсэхээс хамаарна.

Туннель интерфейсийн заль мэх яагаад бүтэлгүйтдэг вэ

Elastic IP-г туннель интерфейс дээр оноох нь зочныг нийтийн хаягийг локал гэж үзэхийг шаарддаг. Одоо хоёр зүйл нэг хаягийг шаардаж байна: интернэт зам дээрх гарцын орчуулга болон туннелийн доторх локал интерфейс. Буцаж буй трафикт аль нь үйлчлэх талаар тогтвортой хариулт байхгүй.

Ажиллаж байгаа мэт харагдсан ч дизайн жинхэнэ асуултыг нуусан. Клиентүүд туннелээр хувийн хаяг руу эсвэл интернэтээр нийтийн төгсгөлийн цэг рүү хүрдэг, энэ хоёр зам нь өөр өөр аюулгүй байдлын бүлэг, өөр лог, өөр алдааны горимтой.

Хаяг нь хэзээ ч асуудал байгаагүй. Замын сонголт байсан.

Гурван зорилго, гурван дизайн

Зорилго нь нийтийн VPN төгсгөлийн цэг бол Elastic IP зөв хэрэгсэл: алсын түншүүд интернэтээр түүнтэй холбогдож, шифрлэгдсэн тээвэр инстанс дээр дуусдаг. Дараа нь дотоод аппликейшны трафик хувийн хаягийг ашиглана.

Зорилго нь аппликейшн руу хувийн хандалт бол очих газар нь хувийн хаяг эсвэл түүн рүү шийдэгдэх хувийн DNS нэр бөгөөд VPN маршрут, аюулгүй байдлын бүлэг, буцах зам бүгд тохирох ёстой. Elastic IP тэр дизайнд огт харагддаггүй.

Зорилго нь VPN хэрэглэгчдэд тогтвортой нийтийн гарах таних тэмдэг бол энэ нь гарах талын NAT дизайн, клиентийн туннель дээрх хаяг биш. Адил сонсогдох гурван зорилго гурван өөр диаграм өгдөг бөгөөд зөвхөн нэг нь Elastic IP-г шинэ газар байрлуулахыг агуулдаг.

Сонгосон замаа шалгана уу

Хувийн хандалтын хувьд VPN маршрут хувийн угтварыг хамарч байгаа, VPC-ийн маршрутын хүснэгт трафикийг туннель руу буцааж байгаа, аюулгүй байдлын бүлэг клиентийн эх сурвалжийг зөвшөөрч байгаа, клиентийн өөрийн firewall хариуг зөвшөөрч байгааг баталгаажуулна уу. Дараа нь ping биш, нэг бодит хүсэлтийг туршина уу.

Нийтийн хандалтын хувьд клиентийн интернэт гаралт, нийтийн орцын маршрутлалт, түүний аюулгүй байдлын бодлогыг баталгаажуулна уу. VPN клиент туннелээр нийтийн төгсгөлийн цэг рүү хүрч чадах эсэх нь туннелийн гаралт болон firewall дүрмээс хамаарна, Elastic IP-ийн холбоосоос биш.

Нийтийн хост нэр хоёр талаас ажиллах ёстой бол VPN клиентүүдэд хувийн хаягаар, бусад бүх хүнд нийтийн хаягаар хариулах DNS дизайн ашиглаж, гэрчилгээг хаягт биш нэрэнд хүчинтэй байлгана уу. Ажлын дараалал: зорилгыг нэрлэ, түүнд хамаарах хаягийг сонго, дараа нь маршрут, бодлого, нэг хүсэлтийг шалга.