VGW эсвэл TGW? AWS Site-to-Site-ийн IPsec туннель хаана дуусдаг

Хүмүүс AWS Site-to-Site VPN пакетыг хаана хамгаалахаа болихыг асууж, нэг хариулт хүлээдэг: гарц дээр. Тэр хариултын ашигтай хувилбар нь аль гарц гэдгийг нэрлэдэг, учир нь виртуал хувийн гарц ба дамжуулалтын гарц нь өөр өөр хавсралтын объект бүхий өөр зохион байгуулалт бөгөөд буруу талыг таамагласан шүүмжлэгч үлдсэн үнэлгээг оршин байхгүй диаграм дээр барьдаг. Доорх гурван шалгалтыг дарааллаар гүйцэтгэнэ үү. Тус бүр нь хил хязгаарыг баталгаажуулах эсвэл өмнөх хариулт өөр нөөцийн тухай байсан гэж хэлдэг.

Ямар нэгэн зүйлийг үнэлэхээс өмнө гурван төгсгөлийн цэгийг нэрлэнэ үү

Энэ замын шифрлэлтийн хяналтад гурван нэрлэсэн зүйл хэрэгтэй: харилцагчийн гарц, IPsec-ийг дуусгадаг AWS VPN зорилт, дотоод пакетыг хүлээн авдаг програмын төгсгөлийн цэг. Нэг ч консолын хуудас нээхээс өмнө тэдгээрийг нөөцийн танигчтай нь бичиж аваарай, учир нь энэ цэгийн дараах бүхэн тэдгээр гурвын нэгийн тухай мэдэгдэл юм.

Харилцагчийн гарц таных бөгөөд түүний тохиргоо танд харагдана. AWS зорилт нь удирдлагатай нөөц бөгөөд алдаа нь түүнийг таамаглах явдал юм: VPN холболт виртуал хувийн гарцад эсвэл шууд дамжуулалтын гарцад хавсарч болох бөгөөд аль нь ч нөгөөгөө шаарддаггүй. Гурав дахь төгсгөлийн цэг нь хүмүүсийн алгасдаг цэг бөгөөд програмын өгөгдлийн тухай жинхэнэ асуултад ганцаараа хариулдаг.

Шалгалт 1: туннелийг бодитоор аль гарц дуусгадаг вэ

Хоёр зохион байгуулалт дэмжигддэг бөгөөд Site-to-Site VPN-ийн архитектурын гарын авлага тэдгээрийг зэрэгцүүлэн тайлбарладаг тул ихэвчлэн нэг жилийн настай диаграмын оронд API-аас асуугаарай. Нэг холболт дээрх зөвхөн унших асуулга VPN зорилтын талбаруудыг буцаана:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Ялгаруулагч нь TransitGatewayId, VpnGatewayId биш. TransitGatewayId хоосон холболт нь бие даасан виртуал хувийн гарц дээр дуусдаг бол энэ талбар тогтоосон холболт нь дамжуулалтын гарцын VPN хавсралт дээр дуусдаг бөгөөд тэр тохиолдолд VpnGatewayId дүүрсэн хэвээр байж болно, учир нь энэ нь хавсралтын тулгуур гарцыг нэрлэж чадна. Эхлээд TGW талбарыг уншаад, дараа нь хавсралтын төрлийг талбарын нэрээс биш хавсралтын жагсаалтаас баталгаажуулаарай, учир нь тэр дамжуулалтын гарц дээрх VPC хавсралт нь VPN хавсралт биш юм. Холбогдсон VPC дотор зорилтот инстансыг олсноор пакетыг аль VPN хавсралт зөөсөн тухай юу ч хэлэхгүй.

Тэнд байхдаа туннелүүдийг ч шалгаарай. Холболт илүүдэлтийн үүднээс хоёр IPsec туннель зөөдөг бөгөөд хоёр дахь туннель нь хэзээ ч өргөгдөөгүй холболт нь шифрлэлтийн хил дээр юу ч өөрчлөхгүй ч хүртээмжийн хувьд бодит илрэл юм:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Шалгалт 2: дотоод пакет одоо ч юу зөөж байна

IPsec дууссаны дараа AWS капсулаас гаргасан пакетыг түүнд тохирсон маршрутаар дамжуулна. Тэр цэгээс хойш урсгал нь энгийн VPC урсгал бөгөөд VPN-ийн хамгаалалт дууссан. Энэ нь үйлчилгээний цоорхой биш; энэ бол хилийн утга бөгөөд хяналтын жагсаалтын зүйл нь "VPN шифрлэгдсэн" гэдгийг "өгөгдөл эхнээс төгсгөл хүртэл шифрлэгдсэн" гэдгийн оронд тавихыг зөвшөөрөхгүйгээр тодорхой хэлэх явдал юм.

Одоо дотор нь юу байсныг шалгаарай. Дотоод пакет нь нээлттэй текстээр програмын протокол бол өөр зүйл шифрлэх хүртэл доош урсгалд юу ч нууцлал нэмэхгүй. Дотоод пакет аль хэдийн TLS сессийг зөөж байгаа бол гаднах IPsec-ийг арилгах нь тэр сессийд юу ч өөрчлөхгүй: энэ нь өөрийн төгсгөлийн цэг хүртэл хамгаалагдсан хэвээр байна, тэр төгсгөлийн цэг хаана ч байсан.

Нийтлэг хэт засвар нь гарцын ард байгаа бүхэн ил болсон гэж дүгнэх явдал юм. Тийм биш. Үйлчилгээний дамжуулалт, хадгалалтын шифрлэлт, програмын TLS нь тусдаа нөхцөл бүхий тусдаа механизм бөгөөд тус бүрийг VPN-ийн хэлбэрээс дүгнэх биш өөрийн нөхцлөөр үнэлэх ёстой. ACCEPT харуулсан урсгалын логын бичлэг нь маршрутлалт ажилласныг нотолж, нууцлалын тухай юу ч хэлэхгүй бөгөөд энэ жагсаалт яг тэр алдааг сэргийлэхэд зориулагдсан.

Шалгалт 3: гарцын ард TLS-ийг юу дуусгадаг вэ

Хаягаас биш, сонсогчийг дагаарай. Ачааллын тэнцвэржүүлэгч эсвэл прокси TLS-ийг дуусгавал таны клиентийн барьж буй холболт тэнд дуусаж, прокси бэкэнд рүү хоёр дахь холболт нээдэг бөгөөд энэ нь нээлттэй текст эсвэл өөр итгэлцлийн гинжин хэлхээ бүхий TLS байж болно. Хувийн IP хаяг болон тохирох маршрут нь тэр хоёр дахь холболтын талаарх нотолгоо биш.

Танд үнэхээр чухал төгсгөлийн цэгийг VPC-ийн дотроос, нэг удаа шийдсэн IP-ийн оронд програмын ашигладаг нэрээр туршаарай:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Хүсэлт дамждаг алхам бүрт үүнийг давтаарай. Хариулт нь клиент рүү харсан нэр ба бэкэндийн нэрийн хооронд ялгаатай бол VPN хэзээ ч хамраагүй яг тэр сегментийг олсон бөгөөд энэ нь бичих ёстой илрэл юм.

Үр дүнг шийдвэр биш, сегмент хэлбэрээр тэмдэглээрэй

Энэ хяналтын жагсаалтын гаралт нь сегмент бүрт нэг мөртэй жижиг хүснэгт юм: харилцагчийн гарцаас AWS VPN зорилт хүртэл, гарцаас ажлын ачаалал хүртэл, ажлын ачааллаас өгөгдлийн сан хүртэл, хооронд нь аливаа прокси алхам. Мөр бүр түүнийг юу хамгаалж, тэр хамгаалалт юунаас хамаардгийг хэлдэг. Механизм, төгсгөлийн цэггүй "шифрлэгдсэн" нь мөр биш.

Дараа нь анхны шаардлагад түүнийг тавьсан ижил нэр томьёогоор хариулаарай. Шаардлага нь ажлын ачаалал хүлээн авах хүртэл өгөгдөл нууц байх явдал бол VPN зөвхөн эхний сегментийг хангаж, үлдсэн мөрүүдэд програмын дамжуулалт, үйлчилгээний TLS эсвэл хадгалалтын шифрлэлт тусдаа тохируулж, баталгаажуулах шаардлагатай.

Холболтын танигч, туннелийн төлөв, гэрчилгээний субъектуудыг бүртгэлд хадгалаарай. Хэн нэгэн зургаан сарын дараа загвар руу буцаж ирэхэд эдгээр гурван артефакт нь диаграмаас маргааныг дахин эхлүүлэхийн оронд хэдхэн минутад хилийн асуултад хариулна.