Elastic IP tal-EC2 mhix l-indirizz VPN privat tal-istanza

L-istanza għandha indirizz privat, l-Elastic IP hija assoċjata miegħu, u rotta għal dak il-/32 pubbliku tiġi miżjuda mal-VPN bit-tama li t-tnejn isiru l-istess ħaġa. Ma jsirux. L-Elastic IP hija traduzzjoni magħmula barra l-mistieden, mill-gateway tal-internet, fuq it-traffiku li jieħu l-passaġġ tal-internet. Is-sistema operattiva tal-mistieden qatt ma tara dak l-indirizz konfigurat fuq interface. Iż-żieda tiegħu ma' interface tal-mina ma tirriproduċix it-traduzzjoni upstream u toħloq identità oħra, konfliġġenti, għall-istess magna.

Żewġ indirizzi, istanza waħda

L-interface tan-netwerk tal-istanza żżomm indirizz privat ġewwa l-VPC, u dak huwa l-indirizz li jaf il-mistieden. L-Elastic IP hija assoċjata mal-istess interface iżda tgħix fuq in-naħa pubblika tal-mapping.

Kull ma jasal għall-istanza mill-internet jasal tradott għall-indirizz privat. Kull ma l-istanza tibgħat lill-internet joħroġ bl-Elastic IP bħala sors, għal darb'oħra minħabba dik it-traduzzjoni.

Ġewwa l-mistieden jeżisti indirizz wieħed. Barra jeżistu tnejn. Din l-asimmetrija tispjega l-biċċa l-kbira tal-konfużjoni f'dan il-qasam. Il-mistieden ma jistax jikkonfigura x'jittraduċi l-gateway. Jista' jwieġeb biss fuq l-indirizz li tassew għandu.

X'inhu verament jagħmel il-gateway tal-internet

Id-dokumentazzjoni tal-AWS dwar il-gateway tal-internet tiddeskrivi l-arranġament: l-istanza hija konxja mill-indirizz IPv4 privat tagħha, u l-gateway jipprovdi t-traduzzjoni korrispondenti għal IPv4 pubbliku jew Elastic IP għat-traffiku fuq il-passaġġ tal-internet.

Dik hija traduzzjoni tal-indirizzi tan-netwerk, mhix alias. Il-mapping tinżamm mill-gateway, marbuta mal-assoċjazzjoni, u tapplika biss għall-pakketti li jgħaddu minnha. Neħħi l-assoċjazzjoni u l-identità pubblika tisparixxi mingħajr il-mistieden ma jinduna b'xejn.

Għalhekk pakkett VPN privat indirizzat lejn il-/32 pubbliku ma jiġix interpretat mill-ġdid bħala pakkett privat lejn l-indirizz lokali tal-mistieden. Il-pakkett isegwi r-rotta li taqbel miegħu, li tibagħtu lejn il-gateway tal-internet, u l-imġiba tal-gateway tiddependi minn jekk il-passaġġ huwiex permess fiż-żewġ direzzjonijiet.

Għalfejn il-trick tal-interface tal-mina jonqos

L-assenjazzjoni tal-Elastic IP lil interface tal-mina titlob lill-mistieden jittratta indirizz pubbliku bħala lokali. Issa żewġ affarijiet jitolbu l-istess indirizz: it-traduzzjoni tal-gateway fuq il-passaġġ tal-internet u l-interface lokali ġewwa l-mina. It-traffiku tar-ritorn m'għandux tweġiba konsistenti dwar liema tapplika.

Anki meta jidher li jaħdem, id-disinn ħeba l-mistoqsija vera. Il-klijenti jew jaslu għall-indirizz privat mill-mina jew jaslu għall-punt tat-tmiem pubbliku mill-internet, u ż-żewġ passaġġi għandhom gruppi ta' sigurtà differenti, reġistrazzjoni differenti u modi ta' falliment differenti.

L-indirizz qatt ma kien il-problema. L-għażla tal-passaġġ kienet.

Tliet għanijiet, tliet disinji

Jekk l-għan huwa punt tat-tmiem VPN pubbliku, l-Elastic IP hija l-għodda t-tajba: il-pari remoto jiġu konnessi miegħu mill-internet u t-trasport ikkriptat jintemm fuq l-istanza. Imbagħad it-traffiku tal-applikazzjoni intern juża l-indirizz privat.

Jekk l-għan huwa aċċess privat għall-applikazzjoni, id-destinazzjoni hija l-indirizz privat jew isem DNS privat li jsolvi għalih, u r-rotta tal-VPN, il-grupp ta' sigurtà u r-rotta tar-ritorn iridu kollha jaqblu. L-Elastic IP ma tidhirx f'dak id-disinn xejn.

Jekk l-għan huwa identità tal-ħruġ pubblika stabbli għall-utenti tal-VPN, dak huwa disinn NAT fuq in-naħa tal-ħruġ, mhux indirizz fuq il-mina tal-klijent. Tliet għanijiet li jinstemgħu simili jipproduċu tliet dijagrammi differenti, u wieħed biss minnhom jinvolvi li tqiegħed Elastic IP f'post ġdid.

Ivverifika l-passaġġ li għażilt

Għall-aċċess privat, ikkonferma li r-rotta tal-VPN tkopri l-prefiss privat, li t-tabella tar-rotot tal-VPC tirritorna t-traffiku lill-mina, li l-grupp ta' sigurtà jippermetti s-sors tal-klijent u li l-firewall tal-klijent stess jippermetti t-tweġiba. Imbagħad ipprova talba waħda reali minflok ping.

Għall-aċċess pubbliku, ikkonferma l-ħruġ tal-internet tal-klijent, ir-routing tad-dħul pubbliku u l-politika ta' sigurtà tiegħu. Jekk klijent VPN jistax jasal għal punt tat-tmiem pubbliku mill-mina jiddependi mir-regoli tal-ħruġ u tal-firewall tal-mina, mhux mill-assoċjazzjoni tal-Elastic IP.

Jekk isem tal-host pubbliku jrid jaħdem miż-żewġ naħat, uża disinn DNS li jwieġeb bl-indirizz privat għall-klijenti VPN u bl-indirizz pubbliku għal kulħadd, u żomm iċ-ċertifikat validu għall-isem u mhux għall-indirizz. Ordni tax-xogħol: semmi l-għan, agħżel l-indirizz li jagħmel miegħu, imbagħad ivverifika rotot, politika u talba waħda.