AWS-ийн NAT гарц VPN руу ямар эх IP ашигладаг вэ?

Та VPC консолыг нээж байна, учир нь түнш газар-газар VPN-ээр ямар эх мужид ирэхийг асуусан. NAT гарцууд хуудас нь Elastic IP холбогдсон нийтийн гарцыг харуулж, тэр хаягийг илгээгээд цааш явах уруу таталт төрдөг. Энэ нь интернетийн замд зөв хариулт, VPN-ийн замд буруу хариулт бөгөөд ялгаа нь чиглүүлэлтийн хүснэгт аль гарц руу зааж байгаад оршино. Зөвшөөрлийн жагсаалт бичихээс өмнө замыг алхаж үзээрэй.

Зөвшөөрлийн жагсаалтаас биш, NAT гарцууд хуудаснаас эхэл

NAT гарцууд хуудас танд дэд сүлжээ, төрөл, Elastic IP-г хэлж өгөх бөгөөд эдгээр гурван талбар эхлэхэд хангалттай. Хэлэхгүй байгаа зүйл нь трафик дараа явдаг зам юм. Энэ нь NAT гарцын дэд сүлжээнд холбогдсон чиглүүлэлтийн хүснэгтүүдээс гардаг.

Эхлээд төрлийг уншаарай, учир нь нийтийн эсвэл хувийн байх нь гинжид дараа нь интернетийн гарц гарч ирэх эсэхийг шийднэ. Дараа нь дэд сүлжээг уншаарай, учир нь хоёр дахь зам тэнд байдаг.

Хоёр хувирлыг дагаарай

Нийтийн болон хувийн NAT гарцууд ажлын ачааллын хувийн IPv4 эх сурвалжийг NAT гарцын өөрийн хувийн IPv4 хаяг руу хөрвүүлдэг. Энэ эхний хувирал төрлөөс үл хамааран явагдана. Хоёр дахь хувирал нь хүмүүсийн мартдаг зүйл юм: нийтийн NAT гарц трафикийг интернетийн гарцад дамжуулж, тэр нь хаягийг холбогдсон Elastic IP-тэй буулгадаг.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Хувийн замд гинжид интернетийн гарц байхгүй. Трафик дамжуулах гарц эсвэл виртуал хувийн гарцаар гарч байгаа үед, NAT гарцын гарын авлага NAT гарцын хувийн хаягийг холын тал хүлээн авдаг эх сурвалж гэж баримтжуулдаг. Түнш зөвшөөрөх ёстой хаяг нь тэр бөгөөд Elastic IP биш.

VPN-ийн зам ихэвчлэн хувийн хаягийг харуулдаг

10.20.1.0/24-д байгаа ажлын ачаалал түншийн префиксэд хүрэх үед ажлын ачааллын дэд сүлжээний чиглүүлэлтийн хүснэгт NAT гарц руу, NAT гарцын дэд сүлжээний чиглүүлэлтийн хүснэгт хувийн гарцын зам руу заана. Хоёр үсрэлт хоёулаа чухал бөгөөд түнш юу харахыг зөвхөн хоёр дахь нь шийднэ. Хэрэв NAT дэд сүлжээнд VPN зам руу чиглэл байхгүй бол, пакет хэзээ ч хүрэхгүй бөгөөд энэ нь буруу эх хаягаас өөр алдаа юм.

Хаягийн талаар огт ярихаас өмнө тэр хоёр дахь замыг шалгаарай. Дутуу зам болон буруу мэдээлсэн эх сурвалж нь трафик харж чадахгүй байгаа түншид яг адилхан харагдана.

Хоёр дахь хувирал хариултыг өөрчлөх үед

AWS мөн дамжуулах гарцын хавсралт дээр тодорхой, тохирох нэг-нэг NAT буулгалтыг санал болгодог. Тэр буулгалт нь холын үйлчилгээ харахаас өмнө эх сурвалжийг дахин хөрвүүлж болох бөгөөд энэ нь зөвхөн чиглүүлдэг анхдагч зан төлөв биш. Үүнийг санаатайгаар тохируулах шаардлагатай тул санамсаргүй өвлөдөг зүйл биш, дизайны үл хамаарах зүйл гэж үзээрэй. Хэрэв багт чинь хэн ч үүнийг асааснаа санахгүй бол хавсралтыг унших хүртэл байхгүй гэж үзээрэй.

Хэрэв таны дизайн үүнийг ашигладаг бол зөвшөөрлийн жагсаалт NAT гарцын хаягийг биш, эцсийн буулгалтыг тайлбарлах ёстой. Хүртээмжийн замуудад мөн адил болгоомжлол хамаарна: хэд хэдэн гарцын хаяг оролцох үед хүлээгдэж буй эх олонлог нь нэгдэл бөгөөд нэг төлөөлөх хаяг биш. Аль хаяг ямар хувиралд хамаарахыг бичиж үлдээгээрэй, учир нь гарал үүсэлгүй жагсаалтыг дараа нь аудит хийх боломжгүй.

Хувийн NAT гарцад интернетийн гарц руу чиглүүлж интернетийн үйлчилгээ өгөх боломжгүй; AWS ийм трафик хаягдана гэж баримтжуулдаг. Төрлийг бүх замаас сонго, шаардлага дахь VPN гэдэг үгнээс биш.

Таны түнш ажиллаж чадах гэрээг бичээрэй

Ашиглах боломжтой гэрээ дөрвөн хэсэгтэй: урсгалууд эхэлдэг чиглэл, түншийн харах хөрвүүлсэн таних тэмдэг, тэр таних тэмдгийн буцах зам, хэрэгжих хамгаалалтын хүрээ. NAT гарцын урсгалууд дэмжигдсэн эх талаас эхэлдэг тул энэ нь хувийн ажлын ачааллыг ил гаргах ирж буй порт дамжуулах үйлчилгээ биш. Үүнийг эрт чанга хэлэх нь тал бүр нөгөө тал эхэлсэн гэж үзсэн дизайны хяналтаас сэргийлдэг.

Хувирал хаягийн давхцлаас чөлөөлөлт, урьдчилан таамаглахуйц эх бодлого худалдаж авдаг бөгөөд түншийн логт бие даасан ажлын ачааллын таних тэмдгийг тань алдахад хүргэдэг. Хэрэв аудит ажлын ачаалал тус бүрээр хамааруулалт шаарддаг бол тэр таних тэмдгийг хөрвүүлсэн эх хаягаас сэргээхийг оролдохын оронд програмын түвшинд хадгаарай.

Дараа нь аливаа өөрчлөлтийн дараа хоёр чиглүүлэлтийн хүснэгтийг дахин шалгаарай, учир нь шинэ хавсралт эсвэл дахин холбогдсон дэд сүлжээ хариултыг чимээгүй дахин бичдэг.