AWS Client VPN jew bastion biex tasal għal VPC b'peering
Iż-żewġ toroq jaħdmu, iżda jinqasmu f'postijiet differenti. Qabbel ir-rotot tal-endpoint, ir-routing tar-ritorn u t-tliet każijiet fejn bastion huwa l-fruntiera onesta.
Endpoint wieħed ta' Client VPN jista' jasal għal VPC li jinsab f'peering mal-VPC assoċjat tiegħu, u m'għandekx bżonn bastion biex tagħmel dan leġittimu. L-għażla li tiswa' li ssir hija fejn it-traffiku jbiddel idejn: rotta tal-endpoint li tinżel fis-subnet tal-assoċjazzjoni u taqsam il-konnessjoni tal-peering, jew host fil-VPC f'peering li jtemm is-sessjoni. Iż-żewġ toroq jaħdmu u jonqsu f'postijiet differenti, għalhekk id-deċiżjoni hija dwar is-sjieda u l-awditjar, mhux dwar dak li jippermetti AWS. Hawn kif nagħżel bejniethom, u l-erba' entrati li jagħmlu r-rotta routed taħdem.
Żewġ toroq, endpoint wieħed, sidien differenti
Fit-triq routed it-traffiku tal-klijent jasal għall-endpoint, jiġi tradott għall-indirizz tal-interface tan-netwerk ta' Client VPN fis-subnet tal-assoċjazzjoni, u joħroġ minn dak is-subnet permezz tal-konnessjoni tal-peering minn A għal B. VPC B ma jtemmx ebda sessjoni VPN; jara traffiku ordinarju mill-VPC A, u għalhekk ir-rotta tar-ritorn tiegħu tipponta lejn VPC A, mhux lejn il-pool tal-klijenti.
Fit-triq tal-bastion il-klijent jasal l-ewwel għal host. Bastion f'A għadu jħalli l-aħħar qabża taqsam il-konnessjoni tal-peering, għalhekk iżżomm ix-xogħol tal-peering u żżid sessjoni. Bastion f'B wkoll jeħtieġ triq mill-klijent, u meta dik it-triq hija l-istess rotta tal-endpoint, għandek id-disinn routed flimkien ma' qabża waħda. Il-bastion inaqqas ix-xogħol biss meta diġà jeżisti, diġà approvat, u l-ħaġa warajh teħtieġ fruntiera ta' sessjoni mhux fruntiera tan-netwerk.
Erba' entrati jagħmlu r-rotta routed taħdem
AWS tiddokumenta dan ix-xenarju fuq il-paġna Client VPN how-it-works, u fil-prattika jidħol f'erba' entrati li jappartjenu għal żewġ jew tliet timijiet. Il-firxiet huma illustrattivi; il-firxa f'peering trid tkun unika u l-firxa tar-ritorn trid taqbel mal-pjan tiegħek.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Rotta u permess huma kontrolli separati. Rotta tal-endpoint korretta mingħajr regola ta' awtorizzazzjoni li taqbel ma tagħti xejn lill-klijent; regola ta' awtorizzazzjoni għal destinazzjoni li l-endpoint ma jistax jirrotta tagħtih toqba sewda. It-tnejn iridu jsemmu l-istess firxa.
Ir-rotta tal-endpoint tipponta lejn subnet fil-VPC tal-endpoint stess, qatt lejn il-konnessjoni tal-peering. It-tabelli tar-rotot tal-VPC jippuntaw lejn il-konnessjoni tal-peering, qatt lejn instance jew interface. L-ikkupjar ta' valur bejn it-tnejn jiġi salvat mingħajr ilment u ma jirrotta xejn.
Peress li s-subnet tal-assoċjazzjoni jittraduċi s-sors tal-klijent, B irid jirrotta lura lejn VPC A, mhux lejn il-pool tal-klijenti. Li tibgħat il-firxa tal-klijenti fuq il-konnessjoni tal-peering jidher simetrika, jgħaddi r-reviżjoni u jonqos bil-moħbi għax B qatt ma jara pakkett b'sors tal-klijent.
Gruppi tas-sigurtà u l-aħħar metru ta' permess
Ir-routing iġib il-pakketti f'B; B xorta jiddeċiedi. Għal konnessjoni ta' peering attiva fl-istess reġjun, grupp tas-sigurtà f'B jista' jirreferi għall-grupp applikat fuq l-assoċjazzjoni ta' Client VPN, li jżomm ir-regola dejqa u jiflaħ għall-bidliet fl-indirizzi. Fejn referenza għal grupp mhijiex fattibbli, ippermetti l-firxa tas-subnet tal-assoċjazzjoni b'mod espliċitu minflok ma twessa' għal 0.0.0.0/0, li jbiddel żball ta' routing f'timeout bla spjegazzjoni.
Imbagħad iċċekkja dak li r-routing qatt ma jmiss: ACLs tan-netwerk fuq iż-żewġ subnets, il-lista permessa jew l-udjenza tat-token tal-applikazzjoni, u d-DNS. Il-peering ma jikkupjax żoni ospitati privati, għalhekk il-laptop jista' jżomm rotta li taħdem lejn indirizz li ma jistax isolvi, u konnessjoni ta' peering ma żżidx fiduċja f'ċertifikat. Ppontja l-endpoint lejn resolver li jwieġeb għal B, imbagħad ikkonferma li l-isem privat u ċ-ċertifikat jaqblu.
Meta l-bastion huwa t-tweġiba onesta
Inżomm tliet triggers biex nagħżel bastion apposta. Il-VPC f'peering jappartjeni għal tim li mhux se jżid rotta tar-ritorn għall-firxa tiegħek jew mhux se jaċċetta referenza għal grupp. L-aċċess irid jiġi approvat jew irreġistrat għal kull sessjoni u l-applikazzjoni ma tistax iġġorrha hi stess. Jew l-aħħar qabża trid tibqa' ġewwa B għax is-servizz jiġi solvut biss hemm u l-identità TLS tiegħu hija pinned ma' isem intern.
Xejn minn dan mhuwa aggirar tal-fatt li l-peering mhuwiex transittiv. In-non-transittività tillimita dak li jistgħu jagħmlu r-riżorsi f'B: ma jistgħux jużaw A bħala transitu għal tielet VPC li A jinsab f'peering miegħu. Dan qatt ma fisser li utent VPN ma jistax jasal għal VPC f'peering direttament, u bastion mibni biex jagħti dawra lil dan il-qari żbaljat huwa host li jiġi patched mingħajr raġuni.
L-iżball oppost jiswa aktar maż-żmien: għaddi kull tim mill-uniku bastion li diġà jeżisti, imbagħad skopri li l-grupp tas-sigurtà, it-tabella tar-rotot u t-tieqa tal-patching tiegħu huma d-dipendenza tal-produzzjoni. Ikteb liema trigger iservi l-host, u rtirah meta t-trigger jitlaq.
Transit Gateway u diversi assoċjazzjonijiet ibiddlu l-aritmetika
Jekk l-endpoint huwa mehmuż direttament ma' Transit Gateway minflok ma' subnet, il-mudell jinbidel: il-klijenti m'għadhomx jiġu tradotti għal indirizz tal-interface f'subnet tal-assoċjazzjoni, u t-tabelli tar-rotot tal-gateway iridu jġorru l-firxa tal-klijenti flimkien mal-kollegament li jagħti lejn il-VPC f'peering. Dan huwa aktar nadif fuq skala, iżda x-xogħol jitmexxa minn erba' entrati għat-tabelli tar-rotot tal-gateway.
Diversi assoċjazzjonijiet jimmultiplikaw il-verifiki. Ir-rotta tal-endpoint tappartjeni lill-endpoint, iżda kull subnet tal-assoċjazzjoni jeħtieġ tabella tar-rotot b'qabża li jmiss tal-peering reali. Sessjoni tista' tirnexxi permezz ta' assoċjazzjoni waħda waqt li oħra m'għandhiex triq tar-ritorn, għalhekk ittestja kull waħda.
Ordni ta' verifika li jsib il-ksur malajr
Mexxi dawn fl-ordni; kull pass jista' jgħaddi waqt li jmiss jonqos, u timeout tal-klijent kważi qatt ma jgħid liema tkisser.
- Issolvi l-isem tal-applikazzjoni mill-klijent u ċċekkja li l-indirizz jinsab fil-firxa f'peering.
- Ikkonnetja, imbagħad aqra l-log tal-konnessjonijiet tal-endpoint għall-assoċjazzjoni li temmet is-sessjoni.
- Fuq dak is-subnet tal-assoċjazzjoni, ikkonferma li t-tabella tar-rotot tipponta l-firxa f'peering lejn konnessjoni ta' peering attiva.
- Fuq is-subnet tar-riżorsi f'B, ikkonferma entrata tar-ritorn għall-firxa tal-interface u regoli tal-grupp li jaqblu.
- Ittestja operazzjoni permessa waħda u riżors wieħed li għandu jibqa' unreachable; it-tieni jaqbad il-fdalijiet tad-debugging.
- Ikkonnetja mill-ġdid wara kull bidla fir-rotta split-tunnel, għax tunnel li qed jaħdem mhux se jieħu sett ġdid ta' rotot.
Żewġ sintomi jiswew li jiftakru. SYN li jasal f'B mingħajr tweġiba kważi dejjem hija r-rotta tar-ritorn nieqsa. Konnessjoni li titlesta u mbagħad tiġi reset hija normalment il-grupp, l-ACL jew l-applikazzjoni. Lanqas waħda ma tidher fil-log tal-endpoint bħala kawża, għalhekk żomm l-erba' entrati b'sid ħdejn kull waħda.
Jekk ħadd mit-tliet triggers ma japplika, lesti r-rotta routed u rreġistra dawk l-erba' entrati. Jekk wieħed japplika, żomm il-bastion biss għal dik il-fruntiera u ħalli r-rotta tal-endpoint għas-servizzi li m'għandhomx bżonn sessjoni quddiemhom.