EC2 яагаад таны AWS Client VPN зөөврийн компьютерт хүрч чадахгүй вэ
Client VPN нь IPv4 клиентийн эх үүсвэрийг endpoint-ийн сүлжээний интерфейс рүү хөрвүүлдэг. Тиймээс хариу ажилладаг ч EC2-ээс шинэ холболт ажиллахгүй.
AWS Client VPN-ээр холбогдсон зөөврийн компьютер EC2 аппликейшнд ямар ч асуудалгүй хүрдэг. Дараа нь та эсрэг чиглэлийг туршина, EC2-ээс клиентэд өгсөн хаяг руу, холболт өлгөгдөх эсвэл татгалзагдана. Энэ тэгш бус байдал нь аюулгүй байдлын бүлгийн дутуу дүрэм байх нь ховор. VPC дэд сүлжээтэй холбогдсон Client VPN endpoint дээр AWS IPv4 клиентийн эх үүсвэрийг endpoint-ийн сүлжээний интерфейс рүү хөрвүүлдэг тул таны зөөврийн компьютерыг төлөөлөх ирж буй VPC хаяг байхгүй.
Capture юу харуулж байгаагаас эхэл
Клиент холбогдож байх үед EC2 хост дээр capture авч, аппликейшн бодитоор харж буй эх хаягийг уншина. Хэрэв энэ нь клиентийн пулаас хаяг биш, VPC талын endpoint интерфейс бол, нэг ч дүрэм өөрчлөхөөс өмнө хөрвүүлэлт батлагдсан.
Клиентийн пул бол хуваарилалтын хүрээ, буцах маршруттай дэд сүлжээ биш. Яг энэ ялгаан дээр ийм мөрдөн шалгалтын ихэнх нь буруу явдаг.
Тэгш бус байдлыг тайлбарлах хөрвүүлэлт
Гурван урсгалыг хооронд нь андуурдаг бөгөөд зөвхөн нэг нь л хүмүүсийн туршдаг урсгал юм.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Client VPN бүрэлдэхүүн хэсгийн тайлбар нь IPv4 клиентийн эх үүсвэр endpoint интерфейс рүү хөрвүүлэгддэг гэдгийг тодорхой хэлдэг бөгөөд дунд мөрөнд тааруулах юу ч байхгүй шалтгааныг харахад хангалттай.
Шинэ холболтод маршрут, хаяг шийдвэрлэх шат, зөвшөөрлийн шийдвэр хэрэгтэй. Өөр хүний сессээс үлдсэн хөрвүүлэлтийн төлөв эдгээрийн аль нэгийг ч өгөхгүй.
Хариу яагаад шинэ холболт биш вэ
TCP хариу нь одоо байгаа бичлэгтэй тааруулагддаг, тиймээс буцах зам нь ямар ч ирж буй дүрэмгүйгээр ажилладаг. EC2 хостоос гарсан шинэ SYN-д тааруулах бичлэг байхгүй тул VPC-ийн хэрхэн хүрэхээ мэдэхгүй очих газар руу чиглэсэн энгийн гарах оролдлого болно.
Тиймээс үүнийг зөвхөн нэг чиглэлд урсах трафик гэж дүрслэх нь төөрөгдүүлдэг. Эдгээр сессэд буцах трафик тасралтгүй урсдаг. Замгүй хэсэг нь эхлэл юм.
Ажиллах ёстой сессийг юу хугалсаар байна вэ
Аюулгүй байдлын бүлгүүд, сүлжээний ACL-ууд, зөөврийн компьютерын өөрийн firewall — амжилттай болох ёстой холболтуудад бүгд чухал. Бүтэлгүй ping хамгийн бага мэдээлдэг, учир нь ICMP бодлого нь таны сонирхож буй TCP бодлогоос ихэвчлэн тусдаа байдаг.
Эдгээр дүрмийг хөрвүүлсэн эх үүсвэрт тулгуурлан бич, клиентийн хаягт биш. Сүлжээнд хэзээ ч харагдахгүй хаягт холбосон дүрмүүд энэ загварын хамгийн түгээмэл өөрөө учруулсан алдаа юм.
VPC үнэхээр яриаг эхлүүлэх ёстой үед
Хэрэв үйлчилгээ ажлын станцад мэдэгдэх ёстой бол чиглэлийг эргүүлж, клиент үйлчилгээ хариу өгдөг байнгын гарах суваг барихыг зөвшөөр. Хэрэв бүх алсын сүлжээ VPC-ээс хүрэх боломжтой байх ёстой бол Client VPN үүнийг аль хэдийн хийдэг гэж таамаглахын оронд өөрийн префиксүүд болон хандалтын бодлогыг нийтэлдэг архитектурыг сонго. Клиентээс клиент рүү хандах нь гурав дахь, илүү нарийн тохиолдол бөгөөд өөрийн маршрут, зөвшөөрлийн объекттой. Эдгээрийн аль нь ч одоо байгаа endpoint дээрх зүгээр л чагт биш.
IPv4 тайлбарын хүрээг ч шударга байлга. Одоогийн AWS баримт бичиг нь IPv6-г, тэр хөрвүүлэлт хэрэгжихгүй газрыг, мөн өөрөөр маршрутладаг бусад холболтын загварыг тусгаарладаг.
Гурван шошготой алхамд турш: клиент зөвшөөрөгдсөн сесс нээж, VPC үйлчилгээ тэр сессэд хариу өгч, VPC хост клиент рүү шинэ сесс нээнэ. Эхний хоёр нь амжилттай, гурав дахь нь бүтэлгүй байх нь энэ загварын хүлээгдэж буй хэлбэр бөгөөд firewall дүрмээр хөөх алдаа биш.