Liema IP tas-sors tuża gateway NAT tal-AWS lejn VPN?

Tiftaħ il-konsol tal-VPC għax sieħeb staqsa liema firxa tas-sors se tasal permezz tal-VPN mis-sit għas-sit. Il-paġna tal-gateways NAT turi gateway pubbliku b’Elastic IP imwaħħla, u t-tentazzjoni hija li tibgħat dak l-indirizz u tkompli. Hija t-tweġiba t-tajba għall-passaġġ tal-internet u t-tweġiba ħażina għall-passaġġ tal-VPN, u d-differenza hija lejn liema gateway tipponta t-tabella tar-rotot. Imxi r-rotta qabel ma tikteb il-lista tal-indirizzi permessi.

Ibda mill-paġna tal-gateways NAT, mhux mil-lista tal-indirizzi permessi

Il-paġna tal-gateways NAT tgħidlek is-subnet, it-tip u l-Elastic IP, u dawn it-tliet oqsma biżżejjed biex tibda. Dak li ma tgħidx huwa l-passaġġ li jieħu t-traffiku wara. Dan jiġi mit-tabelli tar-rotot imwaħħla mas-subnet tal-gateway NAT.

Aqra l-ewwel it-tip, għax pubbliku jew privat jiddeċiedi jekk aktar tard fil-katina tidhirx gateway tal-internet. Imbagħad aqra s-subnet, għax hemmhekk tgħix it-tieni rotta.

Segwi ż-żewġ traduzzjonijiet

Kemm il-gateways NAT pubbliċi kif ukoll dawk privati jittraduċu s-sors IPv4 privat tax-xogħol fl-indirizz IPv4 privat tal-gateway NAT stess. Din l-ewwel traduzzjoni sseħħ irrispettivament mit-tip. It-tieni traduzzjoni hija dik li n-nies jinsiewha: gateway NAT pubbliku jgħaddi t-traffiku lill-gateway tal-internet, li jimmappa l-indirizz mal-Elastic IP imwaħħla.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Fil-passaġġ privat m’hemmx gateway tal-internet fil-katina. Meta t-traffiku joħroġ permezz ta’ gateway tat-transitu jew gateway privat virtwali, il-gwida tal-gateways NAT tiddokumenta l-indirizz privat tal-gateway NAT bħala s-sors li jirċievi n-naħa remota. Dak huwa l-indirizz li s-sieħeb għandu jippermetti, mhux l-Elastic IP.

Il-passaġġ tal-VPN normalment juri l-indirizz privat

Għal xogħol f’10.20.1.0/24 li jilħaq prefiss tas-sieħeb, it-tabella tar-rotot tas-subnet tax-xogħol tipponta lejn il-gateway NAT, u t-tabella tar-rotot tas-subnet tal-gateway NAT tipponta lejn il-passaġġ tal-gateway privat. Iż-żewġ qabżiet importanti, u t-tieni biss tiddeċiedi dak li jara s-sieħeb. Jekk is-subnet NAT m’għandux rotta lejn il-passaġġ tal-VPN, il-pakkett qatt ma jasal, u dan huwa falliment differenti minn indirizz tas-sors ħażin.

Ivverifika dik it-tieni rotta qabel ma titkellem dwar indirizzi xejn. Rotta nieqsa u sors rappurtat ħażin jidhru identiċi għal sieħeb li sempliċement ma jarax traffiku.

Meta t-tieni traduzzjoni tibdel it-tweġiba

L-AWS toffri wkoll immappjar NAT espliċitu u li jaqbel wieħed għal wieħed fuq attachment tal-gateway tat-transitu. Dak l-immappjar jista’ jittraduċi s-sors għal darba oħra qabel ma jarah is-servizz remot, u mhuwiex l-imġiba default li sempliċement iddawwar. Peress li trid tiġi kkonfigurata apposta, itratta bħala eċċezzjoni tad-disinn u mhux bħala xi ħaġa li tirritakka b’inċident. Jekk ħadd fit-tim tiegħek ma jiftakar li xegħelha, assumi li mhijiex hemm sakemm taqra l-attachment.

Jekk id-disinn tiegħek jużaha, il-lista tal-indirizzi permessi trid tiddeskrivi l-immappjar finali u mhux l-indirizz tal-gateway NAT. L-istess kawtela tapplika għall-passaġġi tad-disponibbiltà: meta jipparteċipaw diversi indirizzi tal-gateway, is-sett tas-sorsi mistenni huwa l-unjoni, mhux indirizz rappreżentattiv wieħed. Ikteb liema traduzzjoni jappartjeni kull indirizz, għax lista mingħajr provenjenza hija impossibbli li tiġi awditjata aktar tard.

Gateway NAT privat ma jistax jingħata servizz tal-internet billi tippontah lejn gateway tal-internet; l-AWS tiddokumenta li traffiku bħal dan jintrema. Agħżel it-tip mill-passaġġ sħiħ, mhux mill-kelma VPN fir-rekwiżit.

Ikteb il-kuntratt li fuqu s-sieħeb tiegħek jista’ jaġixxi

Il-kuntratt li jista’ jintuża għandu erba’ partijiet: id-direzzjoni minn fejn jinbdew il-flussi, l-identità tradotta li se jara s-sieħeb, ir-rotta tar-ritorn għal dik l-identità, u l-ambitu tal-protezzjoni li japplika. Il-flussi tal-gateway NAT jinbdew min-naħa tas-sors appoġġjata, allura dan mhuwiex servizz ta’ port forwarding deħlin biex tesponi xogħol privat. Li tgħid dan b’leħen għoli kmieni jipprevjeni reviżjoni tad-disinn fejn kull naħa assumiet li l-oħra bdiet.

It-traduzzjoni tixtri ħelsien mill-ksib tal-indirizzi u politika tas-sors prevedibbli, u tiswielek l-identità individwali tax-xogħol fil-logs tas-sieħeb. Jekk l-awditu jeħtieġ attribuzzjoni għal kull xogħol, żomm dik l-identità fil-livell tal-applikazzjoni minflok ma tipprova tirkupraha minn indirizz tas-sors tradott.

Imbagħad iċċekkja mill-ġdid iż-żewġ tabelli tar-rotot wara kwalunkwe bidla, għax attachment ġdid jew subnet assoċjat mill-ġdid jikteb mill-ġdid it-tweġiba bil-kwiet.