Tunnel sħiħ ta’ Access Server fuq EC2: għaliex kaxxa tal-marka waħda mhijiex biżżejjed

L-irtirar tal-verifika tas-sors u tad-destinazzjoni fuq istanza EC2 hija l-iktar tweġiba ripetuta għall-mistoqsijiet dwar il-ħruġ tal-internet tal-Access Server, u waħedha ma tagħmel xejn għall-klijenti tiegħek. Il-verifika hija restrizzjoni tal-ġarr tal-AWS: tagħmel l-istanza taċċetta pakketti li s-sors jew id-destinazzjoni tagħhom mhijiex l-indirizz tagħha stess. Ma tgħid lill-klijent tal-Access Server biex jibgħat it-traffiku tal-internet mit-tunnel, ma toħloq ebda rotta lejn fuq u ma żżidx NAT. Il-mit huwa li l-kaxxa tal-marka hija l-funzjoni nnifisha.

X’ tikkontrolla tassew il-verifika

Kull interface tan-netwerk tal-EC2 tarmi traffiku li mhux indirizzat lilha, sakemm l-istanza ma tkunx qed taġixxi bħala router, apparat NAT jew gateway VPN u inti ma titfix il-verifika. L-irtirar tagħha jagħti permess biex tibgħat. Il-permess mhuwiex konfigurazzjoni: l-istanza għadha teħtieġ rotta lejn gateway tal-internet jew apparat NAT, it-tabella tar-rotot tal-VPC għadha teħtieġ id-dħul li jaqbel, il-gruppi tas-sigurtà għadhom iridu jippermettu l-fluss, u s-server għadu jrid jittraduċi jew iħaddem ir-rotta tat-traffiku tar-ritorn.

Iċċekkja l-valur attwali baws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck qabel ma tibdel xejn. Jekk tibdlu fil-console, ibdlu għax l-istanza qed tibgħat għal oħrajn, mhux għax klijent ma jasalx għall-internet.

Il-politika tar-rotot tal-klijent hija tal-Access Server

Fl-Access Server 3, iftaħ Access Controls u sib is-sezzjoni Internet Access and DNS. L-għażla Internet Gateway toffri tunnel sħiħ jew maqsum; it-tunnel sħiħ jgħid lill-klijent biex iħaddem it-traffiku tiegħu fil-VPN, it-tunnel maqsum iħalli t-traffiku tal-internet fit-triq lokali tal-klijent. Issalva u applika permezz tal-fluss tax-xogħol tal-prodott, imbagħad erġa qabbad klijent tat-test, għax il-politika tiġi mgħoddija fil-ħin tal-konnessjoni.

Il-verżjonijiet l-qodma jużaw menus differenti u xi builds Community tal-OpenVPN m’ għandhomx kontroll ekwivalenti. Iċċekkja l-verżjoni prinċipali installata qabel ma tfittex skrin li ma jeżistix. Imbagħad ikkonferma x’ rċieva l-klijent: profil ta’ tunnel sħiħ għandu jinstalla rotta awtomatika mit-tunnel, u profil ta’ tunnel maqsum m’ għandux jagħmel hekk.

Segwi l-pakkett wara t-tunnel

Ladarba l-klijent jibgħat it-traffiku tal-internet fit-tunnel, is-server irid jibgħatu u normalment jittraduċih. L-Access Server jimmaniġġja r-regoli tiegħu tan-NAT u tar-rotot, għalhekk aqra l-konfigurazzjoni effettiva minflok ma żżid regoli Community OpenVPN mal-fajls iġġenerati; regoli mhux immaniġġjati jiġu sostitwiti jew jaqtgħu għal xulxin fl-aġġornament tal-prodott li jmiss. sudo iptables -t nat -L -n -v jew l-ekwivalenti tan-nftables juri x’ qed jiġi tradott tassew.

In-naħa tal-AWS hija triq separata. Istanza f’ subnet pubbliku tasal għal gateway tal-internet direttament u żżomm l-indirizz pubbliku tagħha jew l-IP elastiku. Istanza f’ subnet privat teħtieġ rotta lejn gateway NAT jew istanza NAT, u l-apparat NAT jeħtieġ rotta tiegħu lejn il-gateway tal-internet. L-irbit ta’ gateway tal-internet mal-VPC waħdu ma jagħti l’ ebda sors privat indirizz pubbliku tar-ritorn, u għalhekk l-istess konfigurazzjoni tal-Access Server taħdem f’ subnet u tonqos bil-kwiet f’ oħra.

Iċċekkja t-tabella tar-rotot assoċjata mas-subnet tal-istanza, mhux biss it-tabella prinċipali tal-VPC. L-assoċjazzjonijiet tas-subnets jegħlbu t-tabella prinċipali, u assoċjazzjoni skaduta hija raġuni komuni li konfigurazzjoni li taħdem tieqaf wara bini mill-ġdid.

Żomm il-ħruġ tal-IP u d-DNS separati

Ittestja l-ewwel litterali tal-indirizz, imbagħad isem, mill-istess applikazzjoni tal-klijent. Jekk curl -4 https://checkip.amazonaws.com jirritorna indirizz pubbliku imma l-ismijiet tal-host jonqsu, it-tunnel u t-triq NAT jaħdmu u l-problema hija d-DNS: ir-resolver mibgħut, l-istat tar-resolver tal-klijent, jew grupp tas-sigurtà li jimblokka r-resolver. Is-settings tad-DNS tal-Access Server jinsabu fl-istess żona Internet Access, imma jivvjaġġaw fi triq tal-kodiċi differenti.

Qabbel l-indirizz irritornat mal-ħruġ li kellek f’ moħħok. Jekk huwa l-indirizz pubbliku tal-istanza, it-traffiku qed jiġi tradott mill-istanza; jekk huwa indirizz ta’ gateway NAT, qed tintuża t-triq tas-subnet privat. It-tnejn jistgħu jkunu korretti. Dak li ma tistax tikkonkludi huwa li browser fuq is-server jipprova l-ġarr għall-klijent.

Tħallix kaxxa waħda tagħlaq l-investigazzjoni

IPv6 hija deċiżjoni separata. Politika ta’ tunnel sħiħ għall-IPv4 ma tgħid xejn dwar jekk l-IPv6 huwiex inġarr, imblukkat jew jaqbeż, u klijent b’ żewġ saffi jista’ jkompli juża t-triq IPv6 lokali tiegħu waqt li l-IPv4 ikun fit-tunnel. Ittestja l-familja tal-indirizzi li tassew timporta għalik, u iddeċiedi b’ mod espliċitu jekk l-oħra għandhiex tintefa.

Fl-aħħar, ittestja l-istat skonnettjat. L-għażla tat-tunnel sħiħ tiddeskrivi l-politika tar-rotot waqt li tkun konness, mhux x’ jiġri meta t-tunnel jaqa’. Jekk ir-rekwiżit huwa li ebda traffiku ma jaħrab barra mill-VPN, dik hija kwistjoni ta’ kill-switch u firewall, u teħtieġ test tagħha stess minflok deduzzjoni mit-tabella tar-rotot.