VGW jew TGW? Fejn jintemm il-mina IPsec ta' AWS Site-to-Site

In-nies jistaqsu fejn VPN Site-to-Site ta' AWS tieqaf tipproteġi l-pakkett u jistennew tweġiba waħda: fil-gateway. Il-verżjoni utli ta' dik it-tweġiba ssemmi liema gateway, għax gateway privat virtwali u gateway tat-transitu huma arranġamenti differenti b'oġġetti ta' attakkament differenti, u r-reviżur li jassumi dak ħażin jibni l-bqija tal-valutazzjoni fuq dijagramma li ma teżistix. Mexxi t-tliet verifiki hawn taħt fl-ordni. Kull waħda jew tikkonferma l-konfini jew tgħidlek li t-tweġiba preċedenti kienet dwar riżors ieħor.

Semmi t-tliet punti tat-tmiem qabel ma tevalwa xejn

Reviżjoni tal-kriptaġġ ta' dan il-mogħdija teħtieġ tliet affarijiet imsemmija: il-gateway tal-klijent, il-mira VPN ta' AWS li ttemm l-IPsec, u l-punt tat-tmiem tal-applikazzjoni li jirċievi l-pakkett ta' ġewwa. Iktebhom bl-identifikaturi tar-riżorsi tagħhom qabel ma tiftaħ paġna waħda tal-console, għax kollox wara dan il-punt hija dikjarazzjoni dwar wieħed minn dawk it-tlieta.

Il-gateway tal-klijent huwa tiegħek u l-konfigurazzjoni tiegħu hija viżibbli għalik. Il-mira ta' AWS hija riżors immaniġġjat, u l-iżball huwa li tassumiha: konnessjoni VPN tista' tiġi attakkata ma' gateway privat virtwali jew direttament ma' gateway tat-transitu, u l-ebda waħda ma timplika lill-oħra. It-tielet punt tat-tmiem huwa dak li n-nies jaqbeżu, u huwa l-uniku li jwieġeb il-mistoqsija vera dwar id-data tal-applikazzjoni.

Verifika 1: liema gateway ttemm il-mina fil-verità

Iż-żewġ arranġamenti huma appoġġjati u il-gwida tal-arkitettura ta' Site-to-Site VPN tiddeskrivihom spalla ma' spalla, għalhekk staqsi lill-API minflok dijagramma li spiss tkun ta' sena. Mistoqsija biss-qari fuq konnessjoni waħda tirritorna l-oqsma tal-mira VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Id-distinzjoni hija TransitGatewayId, mhux VpnGatewayId. Konnessjoni b'TransitGatewayId vojta tintemm fuq gateway privat virtwali awtonomu, filwaqt li konnessjoni b'dak il-qasam stabbilit tintemm fuq attakkament VPN tal-gateway tat-transitu, u VpnGatewayId jista' jkun għadu mimli f'dak il-każ għax jista' jsemmi l-gateway ta' appoġġ tal-attakkament. Aqra l-qasam TGW l-ewwel, imbagħad ikkonferma t-tip tal-attakkament mil-lista tal-attakkamenti u mhux minn isem ta' qasam, għax attakkament VPC fuq dak il-gateway tat-transitu mhuwiex l-attakkament VPN. Li ssib l-istanza tad-destinazzjoni f'VPC konness ma tgħidlek xejn dwar liema attakkament VPN ġarr il-pakkett.

Waqt li tkun hemm, iċċekkja l-mini. Il-konnessjoni ġġorr żewġ mini IPsec għar-redundanza, u konnessjoni li t-tieni mina tagħha qatt ma telgħet hija sejba reali għad-disponibbiltà anke jekk ma tbiddel xejn fil-konfini tal-kriptaġġ:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Verifika 2: x'għadha ġġorr il-pakkett ta' ġewwa

Ladarba l-IPsec jintemm, AWS tibgħat il-pakkett dekapsulat 'il quddiem bil-mogħdija li qablu. Minn dak il-punt it-traffiku huwa traffiku VPC ordinarju, u l-protezzjoni tal-VPN spiċċat. Dan mhuwiex vojt fis-servizz; dan huwa t-tifsira tal-konfini, u l-punt fil-lista tal-verifika huwa li tgħidha b'mod ċar minflok ma tħalli "il-VPN hija kriptata" tieqaf minflok "id-data hija kriptata minn tarf għal tarf".

Issa eżamina x'kien hemm ġewwa. Jekk il-pakkett ta' ġewwa huwa protokoll tal-applikazzjoni f'test sempliċi, xejn aktar 'l isfel ma jżid il-kunfidenzjalità sakemm xi ħaġa oħra tikkriptah. Jekk il-pakkett ta' ġewwa diġà jġorr sessjoni TLS, it-tneħħija tal-IPsec ta' barra ma tbiddel xejn għal dik is-sessjoni: tibqa' protetta sal-punt tat-tmiem tagħha stess, ikun fejn ikun dak il-punt tat-tmiem.

Il-korrezzjoni żejda komuni hija li tikkonkludi li kollox wara l-gateway huwa espost. Mhuwiex. It-trasport tas-servizz, il-kriptaġġ tal-ħażna u t-TLS tal-applikazzjoni huma mekkaniżmi separati b'kundizzjonijiet separati, u kull wieħed irid jiġi vvalutat fuq it-termini tiegħu stess minflok ma jiġi dedott mill-forma tal-VPN. Dħul fil-log tal-fluss li juri ACCEPT jipprova li l-instradar ħadem u ma jgħid xejn dwar il-kunfidenzjalità, li hija eżattament l-iżball li din il-lista tal-verifika teżisti biex tipprevjeni.

Verifika 3: x'jtemm it-TLS wara l-gateway

Segwi s-semmiegħ, mhux l-indirizz. Jekk bilancer tat-tagħbija jew prokura jtemm it-TLS, il-konnessjoni li żżomm il-klijent tiegħek tintemm hemm, u l-prokura tiftaħ tieni konnessjoni mal-backend li tista' tkun test sempliċi jew TLS b'katina ta' fiduċja differenti. Indirizz IP privat u mogħdija li taqbel mhumiex prova dwar dik it-tieni konnessjoni.

Ittestja l-punt tat-tmiem li verament jimpurtak minnu minn ġewwa l-VPC, bl-isem li tuża l-applikazzjoni u mhux b'IP li wrejt darba:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Irrepeti dan għal kull qabża li tgħaddi minnha t-talba. Jekk it-tweġiba hija differenti bejn l-isem li jħares lejn il-klijent u l-isem tal-backend, sibt eżattament is-segment li l-VPN qatt ma kopriet, u dik hija s-sejba li trid tinkiteb.

Irreġistra r-riżultat bħala segmenti, mhux bħala sentenza

Il-ħruġ ta' din il-lista tal-verifika hija tabella żgħira b'ringiela waħda għal kull segment: gateway tal-klijent sal-mira VPN ta' AWS, gateway sal-kariga tax-xogħol, kariga tax-xogħol sal-maħżen tad-data, u kull qabża tal-prokura bejniethom. Kull ringiela tgħid x'jipproteġiha u minn xiex tiddependi dik il-protezzjoni. "Kriptat" mingħajr mekkaniżmu u mingħajr punt tat-tmiem mhuwiex ringiela.

Imbagħad wieġeb ir-rekwiżit oriġinali fl-istess termini li bihom sar. Jekk ir-rekwiżit huwa li d-data tibqa' kunfidenzjali sakemm il-kariga tax-xogħol tirċeviha, il-VPN tissodisfa biss l-ewwel segment, u r-ringieli li jibqgħu jeħtieġu trasport tal-applikazzjoni, TLS tas-servizz jew kriptaġġ tal-ħażna konfigurati u vverifikati separatament.

Żomm l-identifikaturi tal-konnessjoni, l-istati tal-mini u s-suġġetti taċ-ċertifikati fir-rekord. Meta xi ħadd jerġa' lura għad-disinn fi żmien sitt xhur, dawk it-tliet artefatti jwieġbu l-mistoqsija tal-konfini fi ftit minuti minflok ma jerġgħu jibdew l-argument minn dijagramma.