Għaliex EC2 ma jistax jilħaq il-laptop AWS Client VPN tiegħek
Client VPN jittraduċi s-sorsi IPv4 tal-klijent għall-interface tan-netwerk tal-endpoint. Għalhekk ir-risposta taħdem u konnessjoni ġdida mill-EC2 le.
Laptop imqabbad permezz ta' AWS Client VPN jilħaq applikazzjoni EC2 mingħajr problemi. Imbagħad tipprova l-maqlub, mill-EC2 għall-indirizz li ngħata lill-klijent, u l-konnessjoni tiddendel jew tiġi miċħuda. Din l-asimetrija rari tkun regola tal-grupp tas-sigurtà nieqsa. Fuq endpoint ta' Client VPN assoċjat ma' subnets tal-VPC, AWS jittraduċi s-sorsi IPv4 tal-klijent għall-interface tan-netwerk tal-endpoint, għalhekk m'hemmx indirizz VPC deħlin li jirrappreżenta l-laptop tiegħek.
Ibda minn dak li turi l-qabda
Ħu qabda fuq il-host EC2 waqt li l-klijent jikkonnettja, u aqra l-indirizz tas-sors li l-applikazzjoni tara fil-fatt. Jekk huwa l-interface tal-endpoint fuq in-naħa tal-VPC u mhux indirizz mill-pool tal-klijenti, it-traduzzjoni hija kkonfermata qabel ma tibdel regola waħda.
Il-pool tal-klijenti huwa firxa ta' allokazzjoni, mhux subnet b'rotta tar-ritorn. Fuq din id-distinzjoni jinqlew ħafna minn dawn l-investigazzjonijiet.
It-traduzzjoni li tispjega l-asimetrija
Tliet flussi jiġu mħawwda ma' xulxin, u wieħed biss minnhom huwa dak li n-nies jittestjaw.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Id-deskrizzjoni tal-komponenti ta' Client VPN tgħid b'mod ċar li s-sorsi IPv4 tal-klijent jiġu tradotti għall-interface tal-endpoint, li biżżejjed biex wieħed jara għaliex ir-ringiela tan-nofs m'għandha xejn x'qabbel.
Konnessjoni ġdida teħtieġ rotta, pass ta' riżoluzzjoni tal-indirizz u deċiżjoni ta' awtorizzazzjoni. L-istat tat-traduzzjoni minn sessjoni ta' ħaddieħor ma jipprovdi l-ebda waħda mit-tlieta.
Għaliex risposta mhijiex konnessjoni ġdida
Risposta TCP tiġi mqabbla ma' entrata eżistenti, u għalhekk il-passaġġ lura jaħdem mingħajr ebda regola deħlin. SYN ġdid mill-host EC2 m'għandux entrata x'qabbel, għalhekk isir tentattiv normali tal-ħruġ lejn destinazzjoni li l-VPC ma tafx kif tilħaq.
Għalhekk ukoll huwa qarrieqi li dan jiġi deskritt bħala traffiku li jmur biss f'direzzjoni waħda. It-traffiku lura għaddej b'mod kontinwu f'dawn is-sessjonijiet. Il-parti mingħajr passaġġ hija l-bidu.
X'għadu jkisser sessjoni li suppost taħdem
Il-gruppi tas-sigurtà, l-ACLs tan-netwerk u l-firewall tal-laptop stess kollha huma importanti għall-konnessjonijiet li suppost jirnexxu. Ping li jonqos jgħid l-inqas, għax il-politika tal-ICMP spiss tkun separata mill-politika tat-TCP li tinteressak.
Ikteb dawk ir-regoli skont is-sors tradott, mhux l-indirizz tal-klijent. Ir-regoli marbuta mal-indirizz li qatt ma jidher fuq in-netwerk huma l-aktar falliment komuni li wieħed iġġib fuqu nnifsu f'dan id-disinn.
Meta l-VPC tassew irid jibda l-konversazzjoni
Jekk servizz irid javża stazzjon tax-xogħol, aqleb id-direzzjoni u ħalli lill-klijent iżomm kanal tal-ħruġ permanenti li s-servizz iwieġeb fuqu. Jekk network remot kollu għandu jkun aċċessibbli mill-VPC, agħżel arkitettura li tippubblika l-prefissi u l-politika tal-aċċess tagħha minflok ma tassumi li Client VPN diġà jagħmel dan. L-aċċess bejn klijent u klijent huwa t-tielet każ, iżjed dejjaq, bl-oġġetti tar-rotta u tal-awtorizzazzjoni tiegħu stess. Xejn minn dawn mhuwa biss kaxxa tal-kontroll fuq l-endpoint eżistenti.
Żomm onest ukoll il-kamp tas-spjegazzjoni tal-IPv4. Id-dokumentazzjoni attwali tal-AWS tissepara l-IPv6, fejn dik it-traduzzjoni ma tiġix applikata, u mudelli oħra ta' konnessjoni li jirrotaw b'mod differenti.
Ittestja fi tliet passi ttikkettati: il-klijent jiftaħ sessjoni permessa, is-servizz tal-VPC iwieġeb lil dik is-sessjoni, u host tal-VPC jiftaħ sessjoni ġdida lejn il-klijent. Li l-ewwel tnejn jirnexxu filwaqt li t-tielet jonqos huwa l-forma mistennija ta' dan id-disinn, mhux difett li għandu jiġi segwit b'regoli tal-firewall.