AWS Client VPN яагаад тохирох маршрутгүй трафикийг хаядаг вэ

Төгсгөлийн цэг нь маршрутын хүснэгт зорьсон газрыг хамрах үед л пакетыг дамжуулна. Маршрутуудыг уншиж, for_each-ээр префиксүүдийг зарлаж, буцах замыг шалгана уу.

Client VPN клиентэд хаяг өгч, гар барилт дуусдаг ч холболт хаашаа ч явдаггүй. Гэрчилгээ эсвэл клиентийн хувилбарт хүрэхээс өмнө төгсгөлийн цэгийн өөрийнх нь маршрутын хүснэгтийг харна уу. AWS Client VPN төгсгөлийн цэг нь маршрутуудынхаа нэг нь зорьсон газрын префиксийг хамрах үед л пакетыг дамжуулна; юу ч тохирохгүй бол пакет төгсгөлийн цэг дээр хаягдаж, зорилтот хост SYN-г хэзээ ч хардаггүй.

Энэ бол дамжуулалтын шийдвэр, баталгаажуулалтын шийдвэр биш. Энэ нь туннель боссны дараа болон зөвшөөрлийн дүрмүүд үнэлэгдсэний дараа гардаг тул хүчинтэй гэрчилгээ, хүчинтэй бүлэг ч үхсэн холболт үүсгэж болно.

Төгсгөлийн цэг зөвхөн маршрутын хүснэгтэд хамрагдсаныг дамжуулна

Маршрут бүр нь зорьсон газрын CIDR болон трафикийг хүлээж авах дэд сүлжээ юм. Төгсгөлийн цэг клиентийн зорьсон газрыг тэр жагсаалттай харьцуулж, тохирох бичлэгийг сонгоод пакетыг холбогдсон дэд сүлжээнд илгээнэ. Бичлэг байхгүй бол дараагийн үсрэлт байхгүй.

Маршрут юу биш болохыг анхаарна уу. Энэ нь VPC-ийн маршрутын хүснэгтийн бичлэг биш бөгөөд юунд ч эрх олгохгүй. Зөвшөөрлийн дүрмүүд бүлэг зорьсон газарт хүрч чадах эсэхийг шийддэг; маршрутууд төгсгөлийн цэгт пакетыг хаашаа илгээх газар байгаа эсэхийг шийддэг. Хоёулаа тохирох ёстой бөгөөд тэд өөр өөр шинж тэмдгээр бүтэлгүйтдэг тул аль нь эвдэрснийг таамаглах нь үдээс хойшийг үрэгдүүлдэг.

Сонгодог зөрүү нь peer VPC юм. Хэн нэгэн 10.20.0.0/24-д маршрут нэмдэг бол хост 10.20.4.0/24-д байдаг тул хаяг бүх бичлэгээс гадуур үлддэг. Клиентийн талын бичлэг хариугүй давтагдсан SYN харуулж, зорилтын логууд огт юу ч харуулдаггүй.

Гэрчилгээний өмнө маршрутын жагсаалтыг уншина уу

Төгсгөлийн цэгийн маршрутууд нь тусдаа объект тул VPC-ийн хүснэгтийг уншихын оронд шууд асууна уу:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 --query 'Routes[].{Dest:DestinationCidr,Target:TargetSubnet,Origin:Origin}'

Бүтэлгүйтэж буй клиентээс яг хаяг болон префиксийн уртыг авч, дараа нь хамрах хүрээг үсэг үсгээр шалгана уу. Хамгийн урт префиксийн тохирол үйлчилдэг тул нарийн маршрут өөр газар зааж байвал өргөн маршрут таныг авардаггүй.

for_each-ээр зорьсон газар бүрт нэг нөөц

Гараар бичсэн маршрутын блокууд хэн нэгэн консол дээр префикс нэмэх тэр мөчид гулсдаг. Зорьсон газруудыг зурагт байлгаж, түлхүүр бүрт нэг нөөц үүсгэснээр нэмэх, хасах бүр нь тусгаарлагдсан хэвээр байна.

variable "client_vpn_routes" {
  type = map(string)
  default = {
    "10.20.0.0/16"  = "subnet-0aa11bb22cc33dd44"
    "172.31.0.0/20" = "subnet-0aa11bb22cc33dd44"
  }
}

resource "aws_ec2_client_vpn_route" "this" {
  for_each               = var.client_vpn_routes
  client_vpn_endpoint_id = var.client_vpn_endpoint_id
  destination_cidr_block = each.key
  target_vpc_subnet_id   = each.value
  depends_on             = [aws_ec2_client_vpn_network_association.this]
}

Сүлжээний холбоосоос хамааралтай байдлыг хадгална уу. Маршрутад холбогдсон дэд сүлжээ хэрэгтэй тул хоёуланг нь үүсгэх apply эхлээд холбоосыг эрэмбэлэх ёстой бөгөөд тэр лавлагаагүй бол Terraform маршрутыг эхэлж турших эрхтэй. Дараа нь төлөвлөгөөг уншина уу: маршрут нэмэгдсийн тоо таны нэмсэн префикстэй тохирох ёстой. Хэрэв төлөвлөгөө төгсгөлийн цэгийг мөн сольж байвал төгсгөлийн цэгийн нөөц буруу бичигдсэн бөгөөд түүнийг хэрэглэх нь холбогдсон бүх клиентийг салгана.

Өөрөө үүсгээгүй төгсгөлийн цэгийг хүлээн авах

Ихэнх баг консол дээр бүтээсэн төгсгөлийн цэгийг өвлөдөг тул маршрутын код байдаггүй. Зөвхөн маршрутуудыг Terraform-д оруулахын тулд хоёр дахь төгсгөлийн цэг бүү босго.

Оронд нь импортлох, эсвэл id-нуудыг хувьсагчаар дамжуулж, өвлөгдсөн объектуудыг удирдлагагүй орхино уу. Импортод нөөцийн төрөл бүрт нийлүүлэгчийн баримтжуулсан танигчийн формат хэрэгтэй; энэ нь төгсгөлийн цэг, зорьсон газрын префикс, зорилтот дэд сүлжээг кодчилдог. Тэр мөрийг ой санамжаас бүрдүүлэхийн оронд нөөцийн баримт бичгээс хуулж, төлөвлөгөө ажиллуулж, шинэ зүйл нэмэхээс өмнө ямар ч өөрчлөлт хүлээхгүй байна уу.

Пакетыг явах дарааллаар нь мөрдөнө үү

Маршрут байгаа бөгөөд холболт бүтэлгүйтвэл дээд түвшинд таамаглахын оронд замыг дарааллаар нь явна уу.

  1. Маршрут: префикс зорьсон газрыг хамраад төгсгөлийн цэгтэй холбогдсон дэд сүлжээг заана.
  2. Зөвшөөрөл: зөвшөөрлийн дүрэм тухайн зорьсон газрыг хэрэглэгчийн бүлэгт зөвшөөрнө. Зөвхөн маршрут хэзээ ч хандалт өгөхгүй.
  3. Буцах зам: зорилтот дэд сүлжээний маршрутын хүснэгт хариуг төгсгөлийн цэг рүү буцааж илгээдэг бөгөөд аюулгүй байдлын бүлэг клиентийн хаягийн сангаас портыг зөвшөөрдөг.
  4. Програм: клиентээс бодит TCP холболт нээж, дараа нь зорилтын логууд сангаас хүлээгдэж буй эх хаягийг харуулж байгааг батална уу.

apply бүрт нэг префикс өөрчилж, дараа нь маршрутын жагсаалтыг дахин уншаад, зорьсон газар, зөвшөөрөл олгож буй дүрэм, буцах замыг хамт бичнэ үү. Татгалзсан холболтыг дараа нь дибаг хийх хүн гэрчилгээний онолоос биш, энэ жагсаалтаас эхлэх ёстой.

Холбоотой нийтлэлүүд