strongSwan fuq EC2: ħalli l-VPC ittriqja l-piż tax-xogħol

It-tunnel huwa attiv, l-istanza tal-gateway tista' tagħmel ping lin-netwerk remot, u l-istanza tal-applikazzjoni ħdejha ma tilħaq xejn. Xejn mhu miksur. It-test li rnexxa beda mill-host tal-VPN, u qatt ma staqsa jekk dak il-host jistax iġorr indirizz sors differenti fl-istess relazzjoni IPsec. Dan il-gwida jagħlaq dak id-distakk f'erba' passi, fl-ordni li jżomm kull falliment viżibbli.

L-ewwel ikteb l-erba' indirizzi

Kull pass hawn taħt jirreferi għal dawn, għalhekk imlihom għall-kont tiegħek stess qabel ma tmiss tabella tat-toroq.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

L-eżempju jassumi konnessjoni IPsec ibbażata fuq politika approvata u li taħdem, u fluss li jippreserva s-sors. Dan mhuwiex klijent ta' aċċess remot NAT li jissellef indirizz wieħed assenjat, u dik id-differenza tiddetermina jekk is-seletturi għandhomx jinbidlu.

Pass 1: agħti rotta lis-subnet tal-piż tax-xogħol

It-tabella tat-toroq li hi tassew assoċjata mas-subnet tal-piż tax-xogħol teħtieġ mogħdija għall-prefiss remot li tipponta lejn l-interface tan-netwerk tal-gateway. Rotta tal-mistieden installata ġewwa l-istanza mhijiex entrata f'dik it-tabella tat-toroq tal-AWS, u l-ebda konfigurazzjoni strongSwan ma toħloq waħda.

Il-gwida tal-AWS dwar it-triqjar permezz ta' apparat tiddeskrivi l-miri tal-interface tan-netwerk u l-ħtieġa tal-verifika tas-sors/destinazzjoni tal-istanza li tittrasferixxi. Illimita dik il-bidla fil-verifika għar-rwol tal-gateway, u ħalli l-istanzi tal-applikazzjoni ordinarji kwieti.

Tibdilx ir-rotta lokali tal-VPC jew kull entrata eżistenti biex tagħmel spazju għal netwerk wieħed approvat. Spezzjona x'inhu assoċjat u attiv, mhux dak li turi paġna tal-console għal tabella tat-toroq li ħadd ma juża. Żewġ tabelli li jidhru l-istess jistgħu jkollhom assoċjazzjonijiet differenti. Dik li timporta hija dik li s-subnet tal-piż tax-xogħol huwa marbut magħha.

Pass 2: ixgħel it-trasferiment fuq il-mistieden

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Il-kernel irid jittrasferixxi, u l-firewall tal-host trid tippermetti t-tranżitu. Żid ir-regoli tat-trasferiment maħsuba għall-prefissi tal-piż tax-xogħol u dawk remoto minflok taċċetta kollox, u kkonferma li s-subnet tal-gateway iżomm rotta tat-trasport użabbli għat-traffiku tiegħu stess.

Il-gruppi tas-sigurtà huma fejn dan il-pass normalment jieqaf. Apparat intermedju ma jiretix l-imġiba ta' referenza tal-gruppi tas-sigurtà tal-komunikazzjoni diretta bejn l-istanzi, għalhekk regola kkopjata minn eżempju ta' Client VPN ġestit tista' qatt ma taqbel. Iċċekkja l-grupp tas-sigurtà u l-ACL tas-subnet fuq il-mogħdija attwali, fiż-żewġ direzzjonijiet.

Pass 3: wessa' s-seletturi għas-sorsi reali

Politika li tkopri biss 10.60.1.10/32 fuq in-naħa tal-AWS tispjega suċċess li beda mill-gateway mingħajr ma tkopri 10.60.2.20. Rotta lejn id-destinazzjoni remota ma twessax selettur tat-traffiku, u dik hija t-tieni nofs tal-istess sorpriża.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Jekk id-disinn miftiehem jipproteġi l-VPC kollu, iż-żewġ naħat iridu jaċċettaw 10.60.0.0/16 u 10.90.0.0/24. Jekk jipproteġi piż tax-xogħol wieħed, uża dak il-prefiss idjaq b'mod intenzjonat. Fi kwalunkwe każ, spezzjona l-politika CHILD-SA installata, għax konfigurazzjoni li editjajt u naħa li rrestrinġietha b'mod differenti mhumiex l-istess ftehim.

Is-sit remot irid ukoll ittriqja t-tweġibiet għas-sorsi tal-VPC ippreservati lura permezz tal-gateway IPsec maħsub. Żomm l-eżenzjoni NAT appoġġjata għat-traffiku protett fejn jeżistu regoli oħra tan-NAT tas-sors; li tittraduċi piż tax-xogħol mhux approvat f'indirizz tal-host permess huwa kuntratt ta' identità differenti, mhux shortcut għall-aċċess li xtaqt.

Pass 4: ivverifika, imbagħad irreġġa' lura jekk meħtieġ

Ipprova mill-piż tax-xogħol innifsu b'operazzjoni tal-applikazzjoni permessa u ġdida, imbagħad erġa' agħmel ma' destinazzjoni li għandha tiġi eskluża. Irreġistra l-indirizz tas-sors li jara s-servizz remot u l-mogħdija tar-ritorn li juża. Ping tal-gateway jew status IKE aħdar mhuwiex dak it-test.

Jekk il-piż tax-xogħol għadu jonqos waqt li l-gateway jaħdem, erġa' lura mill-passi fl-ordni: selettur, imbagħad trasferiment u gruppi tas-sigurtà, imbagħad it-tabella tat-toroq assoċjata. Kull wieħed għandu sintomu distint, u l-istħajjil jaqbeż dak li huwa tassew ħażin.

Ir-riroll jaqleb l-istess ordni. Neħħi r-rotta tas-subnet tal-piż tax-xogħol l-aħħar, wara li tirrestawra s-seletturi preċedenti, sabiex ma tħallix subnet li tipponta lejn gateway li m'għadux jipproteġi s-sorsi tiegħu. L-ospitar proprju jista' jservi aktar mill-host tal-gateway meta dawn il-kuntratti jżommu, u s-Site-to-Site VPN ġestit mill-AWS huwa mudell operattiv differenti fejn strongSwan jista' jkun fit-tarf tal-gateway tal-klijent minflok.