Elastic IP EC2 bukan alamat VPN peribadi instans

Instans mempunyai alamat peribadi, Elastic IP dikaitkan dengannya, dan laluan untuk /32 awam itu ditambah pada VPN dengan harapan kedua-duanya menjadi perkara yang sama. Ia tidak. Elastic IP ialah terjemahan yang dilakukan di luar tamu, oleh get laluan internet, pada trafik yang mengambil laluan internet. Sistem pengendalian tamu tidak pernah melihat alamat itu dikonfigurasikan pada antara muka. Menambahnya pada antara muka terowong tidak menghasilkan semula terjemahan huluan dan mencipta identiti kedua yang bercanggah untuk mesin yang sama.

Dua alamat, satu instans

Antara muka rangkaian instans memegang alamat peribadi di dalam VPC, dan itulah alamat yang diketahui oleh tamu. Elastic IP dikaitkan dengan antara muka yang sama tetapi tinggal di sebelah awam pemetaan.

Apa-apa yang mencapai instans melalui internet tiba diterjemahkan ke alamat peribadi. Apa-apa yang dihantar instans ke internet keluar dengan Elastic IP sebagai sumber, sekali lagi kerana terjemahan itu.

Di dalam tamu terdapat satu alamat. Di luar terdapat dua. Asimetri itu menjelaskan sebahagian besar kekeliruan dalam bidang ini. Tamu tidak boleh mengkonfigurasi apa yang diterjemahkan oleh get laluan. Ia hanya boleh menjawab pada alamat yang benar-benar dimilikinya.

Apa yang sebenarnya dilakukan oleh get laluan internet

Dokumentasi AWS tentang get laluan internet menerangkan susunannya: instans mengetahui alamat IPv4 peribadinya, dan get laluan menyediakan terjemahan IPv4 awam atau Elastic IP yang sepadan untuk trafik pada laluan internet.

Itu terjemahan alamat rangkaian, bukan alias. Pemetaan dikekalkan oleh get laluan, terikat pada persatuan, dan hanya terpakai kepada paket yang melaluinya. Buang persatuan itu dan identiti awam hilang tanpa tamu menyedari apa-apa.

Itulah sebabnya paket VPN peribadi yang dialamatkan ke /32 awam tidak ditafsirkan semula sebagai paket peribadi ke alamat tempatan tamu. Paket mengikut laluan yang sepadan, yang menghantarnya ke get laluan internet, dan tingkah laku get laluan bergantung pada sama ada laluan itu dibenarkan dalam kedua-dua arah.

Mengapa helah antara muka terowong gagal

Menetapkan Elastic IP pada antara muka terowong meminta tamu menganggap alamat awam sebagai tempatan. Kini dua perkara menuntut alamat yang sama: terjemahan get laluan pada laluan internet dan antara muka tempatan di dalam terowong. Trafik balasan tidak mempunyai jawapan yang konsisten tentang yang mana terpakai.

Walaupun ia kelihatan berfungsi, reka bentuk itu telah menyembunyikan soalan sebenar. Klien sama ada mencapai alamat peribadi melalui terowong atau mencapai titik akhir awam melalui internet, dan kedua-dua laluan mempunyai kumpulan keselamatan, pengelogan dan mod kegagalan yang berbeza.

Alamat itu tidak pernah menjadi masalah. Pemilihan laluan yang menjadi masalah.

Tiga matlamat, tiga reka bentuk

Jika matlamatnya ialah titik akhir VPN awam, Elastic IP ialah alat yang betul: rakan jauh menyambung kepadanya melalui internet dan pengangkutan disulitkan tamat pada instans. Trafik aplikasi dalaman kemudian menggunakan alamat peribadi.

Jika matlamatnya ialah akses peribadi ke aplikasi, destinasinya ialah alamat peribadi atau nama DNS peribadi yang menyelesaikannya, dan laluan VPN, kumpulan keselamatan serta laluan balik semuanya mesti bersetuju. Elastic IP tidak muncul sama sekali dalam reka bentuk itu.

Jika matlamatnya ialah identiti keluar awam yang stabil untuk pengguna VPN, itu reka bentuk NAT di sebelah keluar, bukan alamat pada terowong klien. Tiga matlamat yang kedengaran serupa menghasilkan tiga rajah berbeza, dan hanya satu daripadanya melibatkan meletakkan Elastic IP di tempat baharu.

Sahkan laluan yang anda pilih

Untuk akses peribadi, sahkan laluan VPN meliputi awalan peribadi, jadual laluan VPC memulangkan trafik ke terowong, kumpulan keselamatan membenarkan sumber klien dan tembok api klien sendiri membenarkan balasan. Kemudian uji satu permintaan sebenar dan bukan ping.

Untuk akses awam, sahkan keluar internet klien, penghalaan pintu masuk awam dan dasar keselamatannya. Sama ada klien VPN boleh mencapai titik akhir awam melalui terowong bergantung pada peraturan keluar dan tembok api terowong, bukan pada persatuan Elastic IP.

Jika nama hos awam perlu berfungsi dari kedua-dua belah, gunakan reka bentuk DNS yang menjawab dengan alamat peribadi untuk klien VPN dan alamat awam untuk semua orang lain, dan kekalkan sijil sah untuk nama itu dan bukan untuk alamat. Urutan kerja: namakan matlamat, pilih alamat yang tergolong di dalamnya, kemudian sahkan laluan, dasar dan satu permintaan.