AWS Client VPN b'tunnel maqsum: liema rotot għandek tippubblika

Il-console toffri swiċċ għat-tunnel maqsum, għalhekk id-deċiżjoni tidher bħal kaxxa tal-kontroll. Mhijiex. Dak li verament jasal għand il-klijent huwa s-sett ta' rotot ippubblikati tal-punt tat-tarf, u dik il-lista tiddeċiedi liema prefissi privati jużaw it-tunnel, jekk it-traffiku ġenerali tal-internet jibqax lokali jew joħroġ permezz ta' AWS, u liema resolver il-klijent għadu jista' jkellem. Tliet mistoqsijiet jiddeċiedu d-disinn, u kull wieħed jista' jiġi mwieġeb ħażin waqt li l-konnessjoni xorta tirnexxi.

Bandiera tat-tunnel maqsum mhijiex lista ta' destinazzjonijiet

AWS tiddeskrivi t-tunnel maqsum bħala żieda tar-rotot tal-punt tat-tarf mat-tabella tar-rotot tal-klijent meta tiġi stabbilita l-konnessjoni. Rotta għall-VPC privat tillimita t-tunnel għal dik id-destinazzjoni; kull ħaġa oħra ssegwi l-passaġġ ordinarju tal-klijent. Rotta default hija struzzjoni differenti b'effett differenti, u għalhekk id-dokumentazzjoni tat-tunnel maqsum twissi kontra l-pubblikazzjoni ta' 0.0.0.0/0 fuq punt tat-tarf ikkonfigurat għal dan il-mod: normalment tkisser il-konnettività minflok testendiha. It-tabella tar-rotot tal-punt tat-tarf hija l-politika, u t-tabella tar-rotot tal-klijent hija r-riżultat li tista' tispezzjona.

Aqra t-tabella tar-rotot tal-punt tat-tarf u r-rotot installati tal-klijent flimkien. It-tikketta tiddeskrivi intenzjoni; ir-rotot jiddeskrivu x'jiġri.

L-ewwel deċiżjoni: it-traffiku ġenerali tal-internet għandu jibqa' lokali?

Jekk il-browsing għandu juża l-konnessjoni tal-utent stess, ippubblika biss id-destinazzjonijiet privati li jeħtieġ ix-xogħol u waqaf hemm. M'għandekx iżżid rotta tal-internet għax tutorial tat-tunnel sħiħ kien jinkludi waħda, u tassumix li r-rotta żejda ttejjeb is-sigurtà. Tibdel il-passaġġ, ma żżidx politika, u normalment tiswa dewmien li ma ppjanajtx.

Jekk it-traffiku tal-internet għandu joħroġ permezz ta' AWS, ibni l-arkitettura tal-aċċess għall-internet iddokumentata: rotta tal-punt tat-tarf, regoli ta' awtorizzazzjoni, il-passaġġ tas-subnet assoċjat, politika tas-sigurtà u ħruġ 'il fuq li jaħdem. Rotta default waħedha ma tipprovdi xejn minn dawn.

It-tieni deċiżjoni: liema prefissi privati, awtorizzati minn min?

Ippubblika l-iżgħar sett ta' destinazzjonijiet li jaqdi x-xogħol reali, u ivverifika li kull subnet assoċjat jista' jirrotta lejhom. Il-mira tar-rotta tal-punt tat-tarf u r-rotta tal-VPC tas-subnet huma saffi differenti, u rotta li teżisti f'wieħed mhijiex prova dwar l-ieħor. L-awtorizzazzjoni hija għal darb'oħra separata: destinazzjoni tista' tkun aċċessibbli u xorta tiġi miċħuda għax il-grupp tal-klijent m'għandux regola li tippermettiha.

L-ittestjar ta' sessjoni waħda b'suċċess jipprova passaġġ wieħed. Ivverifika kull subnet assoċjat, għax assoċjazzjoni ta' subnet miżjuda aktar tard hija eżattament fejn normalment tinsab ir-rotta nieqsa.

Meta destinazzjoni trid tkun aċċessibbli bl-isem, innota li l-mistoqsija li jmiss hija r-riżoluzzjoni tal-ismijiet, mhux ir-rotta.

It-tielet deċiżjoni: liema resolver isegwi t-tunnel?

Klijent jista' jirċievi server DNS aċċessibbli biss permezz tal-VPN, u dak ir-resolver jaħdem biss jekk l-indirizz tiegħu stess jinsab ġewwa rotta awtorizzata. Ivverifika ż-żewġ nofsijiet: l-indirizz tar-resolver isegwi rotta ppubblikata, u s-server iwieġeb l-ismijiet li titlob l-applikazzjoni. Talba li tirnexxi bl-indirizz imma tfalli bl-isem tal-host tindika l-ismijiet, mhux ir-rotta, u l-iżdebug tat-tunnel f'dan il-każ jaħli l-wara nofsinhar.

L-ismijiet pubbliċi għandhom jiġu riżolti kif kienu qabel il-konnessjoni, li hija raġuni oħra biex tkun preċiż dwar dak li tippubblika.

Ibdel is-sett tar-rotot, imbagħad ivverifika ż-żewġ dinjiet

AWS tiddokumenta li l-bdil tar-rotot fuq punt tat-tarf tat-tunnel maqsum jirrisettja l-konnessjonijiet tal-klijenti. Ippjana l-bidla b'dan f'moħħok: applikaha, erġa' qabbad permezz tal-klijent appoġġjat, u aqra r-rotot installati mill-ġdid minflok tafda fi stat applikat qabel l-editjar. Stat applikat skadut huwa l-aktar raġuni komuni għaliex bidla korretta tidher maqtugħa.

Aċċetta d-disinn biss meta riżors privat wieħed u destinazzjoni pubblika waħda jġibu ruħhom kif maħsub, bl-isem u bl-indirizz, fil-familji tal-indirizzi li tassew tappoġġja. Tunnel li jawtentika mhuwiex l-istess bħal tunnel li jaqsam sew.

Ikteb il-lista tar-rotot fir-runbook ħdejn ir-raġunament, sabiex il-persuna li jmiss tkun tista' tiddistingwi esklużjoni intenzjonata minn waħda minsija.