EC2 bejn iż-żoni tad-disponibbiltà: iċċekkja r-rotta qabel VPN

Qabel ma tinstalla software VPN bejn żewġ istanzi EC2, wieġeb mistoqsija waħda: huma fl-istess VPC? Jekk iva, it-triq privata diġà teżisti u t-tqegħid bejn iż-żoni ma jibdilx dan. Il-biċċa l-kbira tax-xogħol f'dan il-każ hija li tikkonferma liema tabella tar-rotot tuża kull subnet fil-fatt, u mbagħad issir taf jekk il-ħsara kinitx problema ta' rotta xorta waħda. Mina normalment hija t-tweġiba ħażina għal din il-mistoqsija partikolari.

Kontroll 1: l-istess VPC jew VPCs differenti

VPC hija reġjonali u tkopri ż-żoni tad-disponibbiltà, filwaqt li kull subnet tappartjeni għal żona waħda biss. Żewġ istanzi f'żoni differenti ta' VPC waħda għadhom fl-istess dominju tar-rotta privata.

VPCs differenti qatt ma jiksbu rotta privata sempliċement għax jaqsmu reġjun jew tikketta ta' żona. Dak il-każ jeħtieġ konnessjoni appoġġjata u xogħol proprju fuq rotot u permessi, li hija deċiżjoni separata.

Kontroll 2: x'jgħidu t-tabelli tar-rotot tas-subnets

Ikteb it-tqassim b'valuri reali. VPC fi 10.60.0.0/16 bis-subnets 10.60.1.0/24 u 10.60.2.0/24 tagħti lill-istanzi 10.60.1.10 u 10.60.2.20 triq permezz tar-rotta lokali tal-VPC.

Imbagħad eżamina t-tabelli assoċjati maż-żewġ subnets, mhux biss dik li sibt l-ewwel. Rotta ta' spezzjoni jew apparat aktar speċifika tista' tegħleb ir-rotta bażi, u l-mira tar-rotta lokali nnifisha tista' tiġi sostitwita f'konfigurazzjonijiet aktar ġodda. Rotta lokali li tidher x'imkien fil-console ma tipprovax li ż-żewġ tagħbijiet tax-xogħol jużawha.

Uża l-indirizzi u l-ismijiet privati li l-VPC fil-fatt tassenja. Indirizz privat m'għandux għalfejn jibda b'10, u li toħroġ wieħed mill-memorja hija l-mod kif ambjent li jaħdem jiġi dijanjostikat ħażin.

Kontroll 3: rotta jew awtorizzazzjoni

Ir-rotta biss twassal il-pakkett sal-interface tan-netwerk tal-mira. Il-grupp tas-sigurtà tal-mira xorta jrid jammetti s-sors u s-servizz, ir-regoli tal-ħruġ tas-sors iridu jippermettu t-talba, u kwalunkwe ACL tan-netwerk trid tippermetti ż-żewġ direzzjonijiet għax l-ACLs ma jżommux stat.

Wara hemm il-firewall tal-mistieden, l-irbit tas-semmiegħ u l-identità tal-applikazzjoni nnifisha. Kull wieħed minnhom jista' jirrifjuta talba li r-rotta wasslet perfettament.

L-aċċettazzjoni trid tkun l-operazzjoni reali tal-applikazzjoni. Ping li jirnexxi ma jagħtix aċċess għall-applikazzjoni u ma jipprovax li l-isem TLS u l-kredenzjali huma korretti, u ping imblukkat ma jistabbilixxix li kull servizz privat waqaf.

Kontroll 4: konnessjoni separata hija tassew meħtieġa

VPN xorta tista' tkun parti mid-disinn, iżda għal raġuni ddikjarata: li tgħaqqad dan il-VPC ma' uffiċċju, li tammetti laptops jew li tissodisfa rekwiżit ta' saff sovrappost. Dik ir-raġuni hija differenti mill-komunikazzjoni ordinarja fl-istess VPC.

Ftakar ukoll x'inhi mhux VPC. Mhijiex estensjoni ta' segment Ethernet tad-dar. Applikazzjoni li tiddependi fuq skoperta b'xandir għandha rekwiżit separat x'jiġi evalwat. Dik hija lakuna fid-disinn u mhux bug fir-rotta.

Kontroll 5: il-kwistjoni tal-kriptaġġ

Indirizz privat u regola ta' permess ma jgħidu xejn dwar protezzjoni kriptografika fis-saff tal-applikazzjoni. Jekk id-dejta teħtieġ protezzjoni minn tarf sa tarf, din tiġi mill-protokoll u mill-mudell tal-identità li s-servizz fil-fatt jappoġġja.

Żomm is-sejbiet dwar is-saff tan-netwerk u s-saff tal-applikazzjoni separati fin-nota tad-disinn, għax l-għaqda tagħhom hija kif reviżjoni tispiċċa tallega protezzjoni li ħadd ma implimenta.

X'għandu jiġi rreġistrat

Irreġistra ż-żewġ IDs tas-subnet, it-tabella tar-rotot assoċjata ma' kull waħda, ir-referenzi tal-gruppi tas-sigurtà u l-operazzjoni tal-applikazzjoni li ttestjajt. Dawn huma erba' fatti, u jsolvu l-biċċa l-kbira tad-diskussjonijiet futuri dwar din it-triq.

It-tqegħid f'żona waħdu qatt ma jgħidlek biex iżżid VPN, u qatt ma jispjega għaliex talba privata falliet.