AWS Client VPN dengan terowong berpecah: laluan mana yang perlu anda terbitkan

Konsol menawarkan togol terowong berpecah, jadi keputusan terasa seperti kotak semak. Bukan. Apa yang benar-benar sampai ke klien ialah set laluan yang diterbitkan oleh titik akhir, dan senarai itu menentukan awalan peribadi mana yang menggunakan terowong, sama ada trafik internet umum kekal setempat atau keluar melalui AWS, dan penyelesai mana yang masih boleh dihubungi klien. Tiga soalan menyelesaikan reka bentuk, dan setiap satu boleh dijawab dengan buruk sementara sambungan masih berjaya.

Bendera terowong berpecah bukan senarai destinasi

AWS memperihalkan terowong berpecah sebagai penambahan laluan titik akhir ke jadual laluan klien semasa sambungan diwujudkan. Laluan untuk VPC peribadi mengehadkan terowong kepada destinasi itu; semua yang lain mengikut laluan biasa klien. Laluan lalai ialah arahan berbeza dengan kesan berbeza, sebab itulah dokumentasi terowong berpecah memberi amaran supaya tidak menerbitkan 0.0.0.0/0 pada titik akhir yang dikonfigurasikan untuk mod ini: ia biasanya memutuskan sambungan dan bukannya meluaskannya. Jadual laluan titik akhir ialah dasar, dan jadual laluan klien ialah hasil yang boleh anda periksa.

Baca jadual laluan titik akhir dan laluan terpasang klien bersama-sama. Label menerangkan niat; laluan menerangkan apa yang berlaku.

Keputusan pertama: perlukah trafik internet umum kekal setempat?

Jika pelayaran sepatutnya menggunakan sambungan pengguna sendiri, terbitkan hanya destinasi peribadi yang diperlukan oleh kerja dan berhenti di situ. Jangan tambah laluan internet kerana tutorial terowong penuh menyertakan satu, dan jangan andaikan laluan tambahan meningkatkan keselamatan. Ia mengubah laluan, tidak menambah dasar, dan biasanya menelan kependaman yang tidak anda belanjakan.

Jika trafik internet perlu keluar melalui AWS, bina seni bina akses internet yang didokumenkan: laluan titik akhir, peraturan kebenaran, laluan subrangkaian berkaitan, dasar keselamatan dan keluar huluan yang berfungsi. Laluan lalai sahaja tidak menyediakan satu pun daripada itu.

Keputusan kedua: awalan peribadi mana, dibenarkan oleh siapa?

Terbitkan set destinasi terkecil yang melayani beban kerja sebenar, dan semak bahawa setiap subrangkaian berkaitan boleh menghala ke sana. Sasaran laluan titik akhir dan penghalaan VPC subrangkaian ialah lapisan berbeza, dan laluan yang wujud dalam satu bukan bukti tentang yang lain. Kebenaran pula berasingan: destinasi boleh dicapai tetapi masih ditolak kerana kumpulan klien tiada peraturan yang membenarkannya.

Menguji satu sesi berjaya membuktikan satu laluan. Semak setiap subrangkaian berkaitan, kerana persatuan subrangkaian yang ditambah kemudian ialah tempat laluan yang hilang biasanya berada.

Apabila destinasi mesti dicapai mengikut nama, ambil perhatian bahawa soalan seterusnya ialah penyelesaian nama, bukan laluan.

Keputusan ketiga: penyelesai mana yang mengikut terowong?

Klien boleh menerima pelayan DNS yang hanya boleh dicapai melalui VPN, dan penyelesai itu hanya berfungsi jika alamatnya sendiri berada dalam laluan yang dibenarkan. Sahkan kedua-dua separuh: alamat penyelesai mengikut laluan yang diterbitkan, dan pelayan menjawab nama yang diminta aplikasi. Permintaan yang berjaya melalui alamat tetapi gagal melalui nama hos menunjuk kepada penamaan, bukan penghalaan, dan menyahpepijat terowong dalam kes itu membuang petang.

Nama awam perlu diselesaikan seperti sebelum sambungan, iaitu satu lagi sebab untuk tepat tentang apa yang anda terbitkan.

Ubah set laluan, kemudian sahkan kedua-dua dunia

AWS mendokumenkan bahawa mengubah laluan pada titik akhir terowong berpecah menetapkan semula sambungan klien. Rancang perubahan dengan itu: gunakannya, sambung semula melalui klien yang disokong, dan baca laluan terpasang semula dan bukan mempercayai keadaan yang digunakan sebelum suntingan. Keadaan digunakan yang lapuk ialah sebab paling biasa perubahan yang betul kelihatan rosak.

Terima reka bentuk hanya apabila satu sumber peribadi dan satu destinasi awam kedua-duanya berkelakuan seperti yang dimaksudkan, mengikut nama dan mengikut alamat, dalam keluarga alamat yang benar-benar anda sokong. Terowong yang mengesahkan identiti bukan sama dengan terowong yang berpecah dengan betul.

Tulis senarai laluan ke dalam runbook di sebelah alasan, supaya orang seterusnya dapat membezakan pengecualian yang disengajakan daripada yang terlupa.