EC2 वरील Access Server पूर्ण टनेल: एक चेकबॉक्स का पुरेसा नाही

EC2 इन्स्टन्सवर स्रोत आणि गंतव्य तपासणी बंद करणे हे Access Server च्या इंटरनेट बाहेर पडण्याबद्दलच्या प्रश्नांना सर्वाधिक वेळा दिले जाणारे उत्तर आहे, आणि ते एकटे तुमच्या क्लायंटसाठी काहीही करत नाही. ही तपासणी AWS ची फॉरवर्डिंग मर्यादा आहे: ती इन्स्टन्सला अशी पॅकेट स्वीकारण्यास अनुमती देते ज्यांचा स्रोत किंवा गंतव्य त्याचा स्वतःचा पत्ता नाही. ती क्लायंटला इंटरनेट रहदारी टनेलमधून पाठवायला सांगत नाही, वरच्या दिशेने मार्ग तयार करत नाही आणि NAT जोडत नाही. चेकबॉक्स हेच वैशिष्ट्य आहे हा गैरसमज आहे.

तपासणी प्रत्यक्षात काय नियंत्रित करते

प्रत्येक EC2 नेटवर्क इंटरफेस स्वतःकडे न पाठवलेली रहदारी टाकून देतो, जोपर्यंत इन्स्टन्स राउटर, NAT उपकरण किंवा VPN गेटवे म्हणून काम करत नाही आणि तुम्ही ती तपासणी बंद करत नाही. ती बंद केल्याने फॉरवर्डिंगची परवानगी मिळते. परवानगी ही संरचना नाही: इन्स्टन्सला अजूनही इंटरनेट गेटवे किंवा NAT उपकरणापर्यंत मार्ग हवा, VPC मार्ग तक्त्याला अजूनही जुळणारी नोंद हवी, सुरक्षा गटांनी अजूनही प्रवाहाला अनुमती द्यायला हवी, आणि सर्व्हरला अजूनही परतीच्या रहदारीचे भाषांतर किंवा मार्गनिर्देशन करायला हवे.

काहीही बदलण्यापूर्वी aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck वापरून सध्याचे मूल्य तपासा. तुम्ही ते कन्सोलमध्ये बदलत असाल, तर क्लायंट इंटरनेटपर्यंत पोहोचत नाही म्हणून नाही, तर इन्स्टन्स इतरांसाठी फॉरवर्ड करते म्हणून बदला.

क्लायंटचे मार्गनिर्देशन धोरण Access Server चे

Access Server 3 मध्ये Access Controls उघडा आणि Internet Access and DNS विभाग शोधा. Internet Gateway निवड पूर्ण किंवा विभाजित टनेल देते; पूर्ण टनेल क्लायंटला त्याची डीफॉल्ट रहदारी VPN मध्ये मार्गनिर्देशित करायला सांगते, विभाजित टनेल इंटरनेट रहदारी क्लायंटच्या स्थानिक मार्गावर ठेवते. उत्पादनाच्या कार्यप्रवाहातून जतन करा आणि लागू करा, नंतर चाचणी क्लायंट पुन्हा जोडा, कारण धोरण कनेक्शनच्या वेळी दिले जाते.

जुन्या आवृत्त्या वेगळे मेनू वापरतात आणि काही Community OpenVPN बिल्डमध्ये समतुल्य नियंत्रण नाही. नसलेली स्क्रीन शोधण्यापूर्वी स्थापित प्रमुख आवृत्ती तपासा. नंतर क्लायंटला काय मिळाले ते तपासा: पूर्ण टनेल प्रोफाइलने टनेलमधून डीफॉल्ट मार्ग स्थापित करायला हवा, आणि विभाजित टनेल प्रोफाइलने तसे करू नये.

टनेलनंतर पॅकेटचा मागोवा घ्या

क्लायंटने इंटरनेट रहदारी टनेलमध्ये पाठवल्यानंतर सर्व्हरने ती फॉरवर्ड करायला हवी आणि सहसा भाषांतर करायला हवे. Access Server स्वतःचे NAT आणि मार्गनिर्देशन नियम व्यवस्थापित करते, म्हणून तयार केलेल्या फाइल्समध्ये Community OpenVPN नियम जोडण्याऐवजी प्रत्यक्ष संरचना वाचा; व्यवस्थापित न केलेले नियम पुढील उत्पादन अद्यतनात अधिलिखित होतात किंवा परस्परविरोध करतात. sudo iptables -t nat -L -n -v किंवा nftables चे समतुल्य प्रत्यक्षात काय भाषांतरित होत आहे ते दाखवते.

AWS बाजू वेगळा मार्ग आहे. सार्वजनिक सबनेटमधील इन्स्टन्स थेट इंटरनेट गेटवेपर्यंत पोहोचते आणि त्याचा सार्वजनिक पत्ता किंवा लवचिक IP राखते. खाजगी सबनेटमधील इन्स्टन्सला NAT गेटवे किंवा NAT इन्स्टन्सपर्यंत मार्ग हवा, आणि NAT उपकरणाला स्वतःचा इंटरनेट गेटवेपर्यंत मार्ग हवा. इंटरनेट गेटवे VPC ला जोडल्याने एकट्याने कोणत्याही खाजगी स्रोताला सार्वजनिक परतीचा पत्ता मिळत नाही, म्हणूनच तेच Access Server संरचना एका सबनेटमध्ये चालते आणि दुसऱ्यात शांतपणे अयशस्वी होते.

इन्स्टन्सच्या सबनेटशी जोडलेला मार्ग तक्ता तपासा, केवळ VPC चा मुख्य तक्ता नाही. सबनेट संबंध मुख्य तक्त्यावर मात करतात, आणि जुना संबंध हे चालणारी संरचना पुनर्बांधणीनंतर थांबण्याचे सामान्य कारण आहे.

IP बाहेर पडणे आणि DNS वेगळे ठेवा

त्याच क्लायंट अॅपमधून प्रथम पत्त्याचे अक्षरशः रूप आणि नंतर नाव तपासा. जर curl -4 https://checkip.amazonaws.com सार्वजनिक पत्ता परत देतो पण होस्टनावे अयशस्वी होतात, तर टनेल आणि NAT मार्ग चालत आहेत आणि समस्या DNS मध्ये आहे: पाठवलेला रिझॉल्व्हर, क्लायंटची रिझॉल्व्हर स्थिती, किंवा रिझॉल्व्हरला अडवणारा सुरक्षा गट. Access Server च्या DNS सेटिंग्ज त्याच Internet Access भागात आहेत, पण त्या वेगळ्या कोड मार्गाने जातात.

परत मिळालेल्या पत्त्याची तुम्ही इच्छित असलेल्या बाहेर पडण्याशी तुलना करा. जर तो इन्स्टन्सचा सार्वजनिक पत्ता असेल तर इन्स्टन्स रहदारीचे भाषांतर करत आहे; जर तो NAT गेटवेचा पत्ता असेल तर खाजगी सबनेट मार्ग वापरात आहे. दोन्ही बरोबर असू शकतात. तुम्ही असा निष्कर्ष काढू शकत नाही की सर्व्हरवरील ब्राउझर क्लायंट फॉरवर्डिंग सिद्ध करतो.

एक चेकबॉक्स तपासणी बंद करू देऊ नका

IPv6 हा वेगळा निर्णय आहे. IPv4 साठीचे पूर्ण टनेल धोरण IPv6 वाहून नेले जाते, अडवले जाते किंवा गळते याबद्दल काहीही सांगत नाही, आणि दुहेरी स्टॅक क्लायंट IPv4 टनेलमध्ये असताना त्याचा स्थानिक IPv6 मार्ग वापरत राहू शकतो. तुम्हाला खरोखर महत्त्वाचे असलेले पत्ता कुटुंब तपासा, आणि दुसरे बंद करायचे का याचा स्पष्ट निर्णय घ्या.

शेवटी, डिस्कनेक्ट केलेली स्थिती तपासा. पूर्ण टनेल निवड जोडलेल्या अवस्थेतील मार्गनिर्देशन धोरण सांगते, टनेल पडल्यावर काय होते ते नाही. VPN बाहेर कोणतीही रहदारी सुटू नये ही गरज असेल, तर तो kill-switch आणि फायरवॉलचा प्रश्न आहे, आणि मार्ग तक्त्यावरून अनुमान काढण्याऐवजी त्याला स्वतःची चाचणी हवी.