IP sumber mana yang digunakan gateway NAT AWS ke arah VPN?

Anda membuka konsol VPC kerana rakan kongsi bertanya julat sumber mana yang akan tiba melalui VPN tapak-ke-tapak. Halaman gateway NAT menunjukkan gateway awam dengan Elastic IP dilampirkan, dan godaannya ialah menghantar alamat itu dan teruskan. Ia jawapan yang betul untuk laluan internet dan jawapan yang salah untuk laluan VPN, dan bezanya ialah gateway mana yang ditunjuk jadual laluan. Jejaki laluan itu sebelum menulis senarai benarkan.

Mulakan di halaman gateway NAT, bukan di senarai benarkan

Halaman gateway NAT memberitahu subnet, jenis dan Elastic IP, dan tiga medan itu cukup untuk bermula. Apa yang tidak diberitahu ialah laluan yang diambil oleh trafik selepas itu. Itu datang daripada jadual laluan yang dilampirkan pada subnet gateway NAT.

Baca jenis dahulu, kerana awam atau peribadi menentukan sama ada gateway internet akan muncul kemudian dalam rantaian. Kemudian baca subnet, kerana di situlah laluan kedua berada.

Ikuti kedua-dua terjemahan

Kedua-dua gateway NAT awam dan peribadi menterjemah sumber IPv4 peribadi beban kerja ke alamat IPv4 peribadi gateway NAT itu sendiri. Terjemahan pertama ini berlaku tanpa mengira jenis. Terjemahan kedua ialah yang dilupakan orang: gateway NAT awam menyerahkan trafik kepada gateway internet, yang memetakan alamat itu kepada Elastic IP yang dilampirkan.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Pada laluan peribadi tiada gateway internet dalam rantaian. Apabila trafik keluar melalui gateway transit atau gateway peribadi maya, panduan gateway NAT mendokumentasikan alamat peribadi gateway NAT sebagai sumber yang diterima oleh sisi jauh. Alamat itulah yang patut dibenarkan oleh rakan kongsi, bukan Elastic IP.

Laluan VPN biasanya menunjukkan alamat peribadi

Untuk beban kerja dalam 10.20.1.0/24 yang mencapai awalan rakan kongsi, jadual laluan subnet beban kerja menunjuk ke gateway NAT, dan jadual laluan subnet gateway NAT menunjuk ke laluan gateway peribadi. Kedua-dua hop penting, dan hanya yang kedua menentukan apa yang dilihat rakan kongsi. Jika subnet NAT tiada laluan ke laluan VPN, paket itu tidak pernah tiba, dan itu kegagalan yang berbeza daripada alamat sumber yang salah.

Sahkan laluan kedua itu sebelum bercakap tentang alamat langsung. Laluan yang hilang dan sumber yang dilaporkan salah kelihatan sama bagi rakan kongsi yang sememangnya tidak melihat trafik.

Apabila terjemahan kedua mengubah jawapan

AWS juga menawarkan pemetaan NAT satu-ke-satu yang eksplisit dan sepadan pada lampiran gateway transit. Pemetaan itu boleh menterjemah sumber sekali lagi sebelum perkhidmatan jauh melihatnya, dan ia bukan tingkah laku lalai yang hanya menghalakan laluan. Kerana ia mesti dikonfigurasikan dengan sengaja, anggap ia sebagai pengecualian reka bentuk dan bukan sesuatu yang diwarisi secara tidak sengaja. Jika tiada siapa dalam pasukan anda ingat menyalakannya, anggap ia tiada sehingga anda membaca lampiran itu.

Jika reka bentuk anda menggunakannya, senarai benarkan mesti menerangkan pemetaan akhir dan bukan alamat gateway NAT. Awas yang sama terpakai pada laluan ketersediaan: apabila beberapa alamat gateway terlibat, set sumber yang dijangka ialah gabungan, bukan satu alamat wakil. Catat alamat mana milik terjemahan yang mana, kerana senarai tanpa asal usul mustahil diaudit kemudian.

Gateway NAT peribadi tidak boleh diberi perkhidmatan internet dengan menghalakannya ke gateway internet; AWS mendokumentasikan bahawa trafik sedemikian dibuang. Pilih jenis daripada laluan penuh, bukan daripada perkataan VPN dalam keperluan.

Tulis kontrak yang boleh diambil tindakan oleh rakan kongsi anda

Kontrak yang berguna mempunyai empat bahagian: arah aliran dimulakan, identiti terjemahan yang akan dilihat rakan kongsi, laluan balik untuk identiti itu, dan skop perlindungan yang terpakai. Aliran gateway NAT dimulakan dari sisi sumber yang disokong, jadi ini bukan perkhidmatan pengemudian port masuk untuk mendedahkan beban kerja peribadi. Menyebutnya dengan kuat lebih awal menghalang semakan reka bentuk yang setiap pihak menganggap pihak lain memulakannya.

Terjemahan membeli kelegaan daripada pertindihan alamat dan dasar sumber yang boleh diramal, dan ia merugikan anda identiti beban kerja individu dalam log rakan kongsi. Jika audit memerlukan atribusi bagi setiap beban kerja, simpan identiti itu di lapisan aplikasi dan bukannya cuba memulihkannya daripada alamat sumber yang diterjemah.

Kemudian semak semula kedua-dua jadual laluan selepas sebarang perubahan, kerana lampiran baharu atau subnet yang disekutukan semula secara senyap menulis semula jawapan itu.