Mengapa EC2 tidak dapat mencapai laptop AWS Client VPN anda
Client VPN menterjemah sumber IPv4 klien ke antara muka titik akhir. Itulah sebabnya balasan berfungsi dan sambungan baharu dari EC2 tidak.
Laptop yang disambungkan melalui AWS Client VPN mencapai aplikasi EC2 tanpa masalah. Kemudian anda mencuba sebaliknya, dari EC2 ke alamat yang diberikan kepada klien, dan sambungan tergantung atau ditolak. Asimetri itu jarang merupakan peraturan kumpulan keselamatan yang hilang. Pada titik akhir Client VPN yang dikaitkan dengan subnet VPC, AWS menterjemah sumber IPv4 klien ke antara muka rangkaian titik akhir, jadi tiada alamat VPC masuk yang mewakili laptop anda.
Mulakan dengan apa yang ditunjukkan oleh tangkapan
Ambil tangkapan pada hos EC2 semasa klien menyambung dan baca alamat sumber yang benar-benar dilihat oleh aplikasi. Jika ia antara muka titik akhir di sebelah VPC dan bukan alamat daripada kumpulan klien, terjemahan itu disahkan sebelum anda menukar satu peraturan pun.
Kumpulan klien ialah julat peruntukan, bukan subnet dengan laluan balik. Di situlah kebanyakan penyiasatan sebegini tersasar.
Terjemahan yang menjelaskan asimetri
Tiga aliran dikelirukan antara satu sama lain, dan hanya satu daripadanya ialah aliran yang diuji orang.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Huraian komponen Client VPN menyatakan dengan jelas bahawa sumber IPv4 klien diterjemah ke antara muka titik akhir, yang cukup untuk melihat mengapa baris tengah tiada apa-apa untuk dipadankan.
Sambungan baharu memerlukan laluan, langkah penyelesaian alamat dan keputusan kebenaran. Keadaan terjemahan daripada sesi orang lain tidak menyediakan satu pun daripada ketiga-tiganya.
Mengapa balasan bukan sambungan baharu
Balasan TCP dipadankan dengan entri sedia ada, sebab itulah laluan balik berfungsi tanpa sebarang peraturan masuk. SYN baharu daripada hos EC2 tiada entri untuk dipadankan, jadi ia menjadi percubaan keluar biasa ke destinasi yang VPC tidak tahu cara mencapai.
Sebab itu juga menggambarkannya sebagai trafik yang hanya pergi satu arah adalah mengelirukan. Trafik balik mengalir berterusan dalam sesi ini. Bahagian yang tiada laluan ialah permulaan.
Apa yang masih merosakkan sesi yang sepatutnya berfungsi
Kumpulan keselamatan, ACL rangkaian dan firewall laptop itu sendiri semuanya penting untuk sambungan yang sepatutnya berjaya. Ping yang gagal paling sedikit memberitahu, kerana dasar ICMP sering berasingan daripada dasar TCP yang anda pedulikan.
Tulis peraturan itu berdasarkan sumber yang diterjemah, bukan alamat klien. Peraturan yang terikat pada alamat yang tidak pernah muncul di rangkaian ialah kegagalan yang dicipta sendiri paling biasa dalam reka bentuk ini.
Apabila VPC benar-benar perlu memulakan perbualan
Jika perkhidmatan perlu memberitahu stesen kerja, terbalikkan arah dan biarkan klien memegang saluran keluar berterusan yang perkhidmatan balas. Jika seluruh rangkaian jauh mesti boleh dicapai dari VPC, pilih seni bina yang menerbitkan awalan dan dasar aksesnya daripada menganggap Client VPN sudah melakukannya. Akses klien ke klien ialah kes ketiga yang lebih sempit dengan objek laluan dan kebenarannya sendiri. Tiada satu pun daripada ini hanya kotak semak pada titik akhir sedia ada.
Kekalkan skop penjelasan IPv4 dengan jujur juga. Dokumentasi AWS semasa memisahkan IPv6, di mana terjemahan itu tidak digunakan, dan model sambungan lain yang menghalakan secara berbeza.
Uji dalam tiga langkah berlabel: klien membuka sesi yang dibenarkan, perkhidmatan VPC menjawab sesi itu, dan hos VPC membuka sesi baharu ke arah klien. Dua yang pertama berjaya manakala yang ketiga gagal ialah bentuk yang dijangka bagi reka bentuk ini, bukan kecacatan yang perlu dikejar dengan peraturan firewall.