LAN wara sessjoni waħda ta’ AWS Client VPN: x’jiġi mgħoddi

Il-laptop jgħaqqad mal-endpoint ta’ AWS Client VPN, jasal għas-subnet privat, u kollox jidher f’saħħtu. Id-desktop fuq l-istess LAN ma jasal għal xejn, għalkemm il-host Linux għandu wkoll interface tal-pont u ż-żewġ magni jinsabu fuq l-istess kejbil. Xejn mhu kkonfigurat ħażin fit-tunnel; il-biċċa neqsin hija r-routing, u l-pont huwa ħjiel qarrieqi.

L-estensjoni ta’ sessjoni Client VPN lejn LAN hija rwol ta’ gateway. Mhix segment Ethernet miġbud f’servizz maniġġjat.

Il-host jaħdem u l-LAN le

L-interface tat-tunnel fuq il-magna Linux għandha indirizz fil-CIDR tal-klijent Client VPN, u l-endpoint bagħat rotot għall-firxiet tal-VPC. Talba magħmula fuq dik il-magna hija traffiku ġġenerat lokalment: tagħżel rotta, toħroġ mit-tunnel u tieħu tweġiba. Dik it-triq qatt ma tmiss il-kodiċi tat-trasferiment, l-interface tal-LAN jew xi regola tal-firewall li tirregola t-transitu.

It-traffiku minn apparat ieħor tal-LAN huwa fluss differenti. Jasal fuq l-interface tal-LAN, jeħtieġ rotta li tipponta fit-tunnel, jeħtieġ trasferiment attivat, jeħtieġ firewall li jippermettih, u jeħtieġ li r-risposta terġa’ lura mill-istess host. Erba’ rekwiżiti, u t-test tal-laptop li jaħdem ma jipprova l-ebda wieħed minnhom. Mid-desktop il-ħsara tidher stramba: it-tunnel huwa attiv, il-kredenzjali huma validi, u d-destinazzjoni sempliċement qatt ma twieġeb. Id-difett huwa lokali għat-triq tat-trasferiment tal-gateway, mhux għas-servizz.

Mhux kull klijent jista’ jkun gateway

AWS tgħid li l-applikazzjoni tad-desktop Client VPN tagħha ma tappoġġjax it-trasferiment tal-IP, u li klijenti oħra jistgħu. Dan ir-restrizzjoni tiddeċiedi l-arkitettura qabel ma tinkiteb xi kmand. Jekk l-uniku klijent disponibbli huwa l-applikazzjoni uffiċjali tad-desktop, gateway Linux li jittrasferixxi għal-LAN mhix konfigurazzjoni li tista’ tlesti, u l-ebda ammont ta’ masquerading ma jbiddel dan.

Il-klijent sostitut irid ukoll jaqbel mal-metodu ta’ awtentikazzjoni tal-endpoint u mal-politika li biħsiebek tinforza. Endpoints ibbażati fuq ċertifikati, direttorju u SAML ma jaċċettawx l-istess konfigurazzjonijiet tal-klijent, u klijent ta’ partijiet terzi li jawtentika iżda jinjora r-rotot mibgħuta mhuwiex titjib.

Ittratta l-għażla tal-klijent bħala parti mir-reviżjoni tad-disinn. Tiddetermina jekk il-mudell tat-trasferiment tal-LAN huwiex disponibbli xejn, u tiddetermina liema identità l-endpoint jara għal kull apparat wara l-gateway. Irreġistra l-klijent u l-konfigurazzjoni tal-endpoint li kontrieha ġie ttestjat. Bidla fil-klijent sitt xhur wara tista’ tneħħi bil-kwiet il-kapaċità li d-disinn assuma.

Idderieġi l-LAN lejn it-tunnel u ttraduċiha

B’klijent appoġġjat preżenti, il-bqija hija xogħol ordinarju tal-gateway. L-apparati tal-LAN jeħtieġu rotta għall-firxa tal-VPC li tipponta lejn il-host Linux, u l-host jeħtieġ it-trasferiment attivat. Jekk trid li l-VPC jara t-traffiku bħala l-klijent konness u mhux bħala indirizz LAN arbitrarju, ittraduċi s-sors meta toħroġ.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Illimita r-regola għall-interface tat-tunnel u għall-firxa tal-VPC, kif intqal hawn fuq, minflok tagħmel masquerading ta’ dak kollu li l-host jittrasferixxi. Ir-regola idjaq hija eħfef biex tirraġuna, u ma tbiddilx bil-kwiet traffiku li kellu jżomm l-indirizz tas-sors oriġinali tiegħu.

Ħalli r-rotta tal-LAN tasal awtomatikament jekk tista’: għażla DHCP, tħabbira tar-router jew rotta statika mibgħuta minn dak li jamministra l-LAN. Rotta li teżisti biss fuq magna tat-test waħda tagħmel id-disinn jidher miksur fil-mument li xi ħadd ieħor jipprovaha.

Ir-risposta wkoll teħtieġ triq

Ladarba t-talba tasal għall-VPC, ir-risposta trid terġa’ lura mill-istess stati tat-traduzzjoni u ssib ir-rotta tal-LAN fuq il-gateway. Dik il-parti normalment taħdem meta r-regola tal-masquerade tkun f’postha, għax il-mappa tgħix fuq il-host li għamilha. Tinkiser meta n-naħa tal-VPC ikollha rotta li tibgħat ir-risposta band’oħra, u għalhekk kemm ir-rotta tas-CIDR tal-klijent kif ukoll l-assoċjazzjoni tas-subnet fuq l-endpoint huma importanti.

Ħares lejn il-counter, mhux biss lejn il-ping. Regola tal-masquerade b’żero pakketti tgħidlek li t-talba qatt ma waslet għall-interface tat-tunnel, li tipponta lura lejn ir-rotta tal-LAN jew it-tabella tar-routing tal-klijent stess. Regola b’pakketti iżda mingħajr risposti tipponta lejn in-naħa tal-VPC, ir-regoli tal-awtorizzazzjoni jew grupp tas-sigurtà li ma jaċċettax is-sors tradott. Aqra ż-żewġ direzzjonijiet qabel ma tbiddel xi ħaġa, għax għadd li jikber biss fuq naħa waħda hija triq f’direzzjoni waħda, mhux triq bil-mod.

Ftakar li l-endpoint huwa servizz maniġġjat. M’hemm l-ebda fajl tal-konfigurazzjoni tas-server x’jeditja u l-ebda direttiva client-config x’żżid, għalhekk istruzzjonijiet miktuba għal server OpenVPN awtoġestit b’rotot tas-subnet tal-klijent personalizzati ma jgħaddux. Fuq AWS il-lievi huma l-assoċjazzjoni tas-subnet, ir-regoli tal-awtorizzazzjoni u t-tabelli tar-routing tal-VPC.

Identità kondiviża hija l-parti li l-politika trid twieġeb għaliha

Kull apparat wara l-gateway juża s-sessjoni VPN tal-gateway. Ir-regoli tal-awtorizzazzjoni tal-endpoint jagħtu aċċess lil utent jew grupp, u mill-perspettiva tas-servizz hemm eżattament utent wieħed f’dik is-sessjoni. It-trasferiment lokali ma jimmultiplikax dik l-identità f’awtentikazzjoni għal kull apparat, u ma jestendix il-verifiki tal-qagħda tal-apparat sal-printer fil-kantuniera.

Dan jista’ jkun aċċettabbli, jew jista’ jkun ir-raġuni għaliex id-disinn jiġi miċħud. Jiddependi minn dak li r-riżorsi tal-VPC jassumu dwar min qed iċempel. Identità kondiviża li taqbel mal-mudell tal-awtorizzazzjoni hija tajba; waħda li bil-kwiet iddawwar sessjoni awtentikata waħda f’aċċess għall-LAN kollha hija sejba li qed tistenna biex tinkiteb.

Jekk ir-rekwiżit huwa verament li tqabbad sit sħiħ ma’ VPC, qabbel disinn sit-sa-sit appoġġjat qabel ma testendi klijent tal-aċċess remot. Is-semantika hija differenti, u sessjoni tal-klijent bi NAT hija sostitut fqir għal rabta tas-sit meta l-VPC jeħtieġ jibda konnessjonijiet lejn il-LAN.

Iddeċiedi l-klijent, ir-rotta, it-traduzzjoni u l-istorja tal-identità f’dan l-ordni. Kull wieħed jillimita dak li jmiss, u l-ordni tispjega għaliex il-host jaħdem filwaqt li l-LAN le.