EC2 ਤੇ Access Server ਪੂਰਾ ਟਨਲ: ਇੱਕ ਚੈਕਬਾਕਸ ਕਿਉਂ ਕਾਫ਼ੀ ਨਹੀਂ

EC2 ਇੰਸਟੈਂਸ ਤੇ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਜਾਂਚ ਬੰਦ ਕਰਨਾ Access Server ਦੇ ਇੰਟਰਨੈੱਟ ਨਿਕਾਸ ਬਾਰੇ ਸਵਾਲਾਂ ਦਾ ਸਭ ਤੋਂ ਵੱਧ ਦੁਹਰਾਇਆ ਜਾਣ ਵਾਲਾ ਜਵਾਬ ਹੈ, ਅਤੇ ਇਕੱਲਾ ਇਹ ਤੁਹਾਡੇ ਗਾਹਕਾਂ ਲਈ ਕੁਝ ਨਹੀਂ ਕਰਦਾ। ਇਹ ਜਾਂਚ AWS ਦੀ ਫਾਰਵਰਡਿੰਗ ਸੀਮਾ ਹੈ: ਇਹ ਇੰਸਟੈਂਸ ਨੂੰ ਉਹ ਪੈਕਟ ਸਵੀਕਾਰ ਕਰਨ ਦਿੰਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਦਾ ਸਰੋਤ ਜਾਂ ਮੰਜ਼ਿਲ ਆਪਣਾ ਪਤਾ ਨਹੀਂ ਹੈ। ਇਹ ਗਾਹਕ ਨੂੰ ਇੰਟਰਨੈੱਟ ਟ੍ਰੈਫਿਕ ਟਨਲ ਰਾਹੀਂ ਭੇਜਣ ਨਹੀਂ ਕਹਿੰਦੀ, ਉੱਪਰ ਵੱਲ ਮਾਰਗ ਨਹੀਂ ਬਣਾਉਂਦੀ ਅਤੇ NAT ਨਹੀਂ ਜੋੜਦੀ। ਭਰਮ ਇਹ ਹੈ ਕਿ ਚੈਕਬਾਕਸ ਹੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ।

ਜਾਂਚ ਅਸਲ ਵਿੱਚ ਕੀ ਨਿਯੰਤਰਿਤ ਕਰਦੀ ਹੈ

ਹਰ EC2 ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਉਹ ਟ੍ਰੈਫਿਕ ਸੁੱਟ ਦਿੰਦਾ ਹੈ ਜੋ ਆਪਣੇ ਵੱਲ ਨਹੀਂ ਭੇਜਿਆ ਗਿਆ, ਜਦੋਂ ਤੱਕ ਇੰਸਟੈਂਸ ਰਾਊਟਰ, NAT ਡਿਵਾਈਸ ਜਾਂ VPN ਗੇਟਵੇ ਵਜੋਂ ਕੰਮ ਨਹੀਂ ਕਰ ਰਿਹਾ ਅਤੇ ਤੁਸੀਂ ਉਹ ਜਾਂਚ ਬੰਦ ਨਹੀਂ ਕਰਦੇ। ਬੰਦ ਕਰਨ ਨਾਲ ਫਾਰਵਰਡ ਕਰਨ ਦੀ ਆਗਿਆ ਮਿਲਦੀ ਹੈ। ਆਗਿਆ ਸੰਰਚਨਾ ਨਹੀਂ ਹੈ: ਇੰਸਟੈਂਸ ਨੂੰ ਅਜੇ ਵੀ ਇੰਟਰਨੈੱਟ ਗੇਟਵੇ ਜਾਂ NAT ਡਿਵਾਈਸ ਤੱਕ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ, VPC ਮਾਰਗ ਸਾਰਣੀ ਨੂੰ ਅਜੇ ਵੀ ਮੇਲ ਖਾਂਦੀ ਐਂਟਰੀ ਚਾਹੀਦੀ ਹੈ, ਸੁਰੱਖਿਆ ਗਰੁੱਪਾਂ ਨੂੰ ਅਜੇ ਵੀ ਪ੍ਰਵਾਹ ਦੀ ਆਗਿਆ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਸਰਵਰ ਨੂੰ ਅਜੇ ਵੀ ਵਾਪਸੀ ਟ੍ਰੈਫਿਕ ਦਾ ਅਨੁਵਾਦ ਜਾਂ ਮਾਰਗਨਿਰਦੇਸ਼ਨ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

ਕੁਝ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck ਨਾਲ ਮੌਜੂਦਾ ਮੁੱਲ ਜਾਂਚੋ। ਜੇ ਤੁਸੀਂ ਕੰਸੋਲ ਵਿੱਚ ਬਦਲਦੇ ਹੋ, ਤਾਂ ਇਸ ਲਈ ਬਦਲੋ ਕਿ ਇੰਸਟੈਂਸ ਦੂਜਿਆਂ ਲਈ ਫਾਰਵਰਡ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਨਹੀਂ ਕਿ ਕੋਈ ਗਾਹਕ ਇੰਟਰਨੈੱਟ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ।

ਗਾਹਕ ਦੀ ਰੂਟਿੰਗ ਨੀਤੀ Access Server ਦੀ ਹੈ

Access Server 3 ਵਿੱਚ Access Controls ਖੋਲ੍ਹੋ ਅਤੇ Internet Access and DNS ਭਾਗ ਲੱਭੋ। Internet Gateway ਚੋਣ ਪੂਰਾ ਜਾਂ ਵੰਡਿਆ ਟਨਲ ਦਿੰਦੀ ਹੈ; ਪੂਰਾ ਟਨਲ ਗਾਹਕ ਨੂੰ ਆਪਣਾ ਡਿਫਾਲਟ ਟ੍ਰੈਫਿਕ VPN ਵਿੱਚ ਰੂਟ ਕਰਨ ਲਈ ਕਹਿੰਦਾ ਹੈ, ਵੰਡਿਆ ਟਨਲ ਇੰਟਰਨੈੱਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਗਾਹਕ ਦੇ ਸਥਾਨਕ ਮਾਰਗ ਤੇ ਛੱਡ ਦਿੰਦਾ ਹੈ। ਉਤਪਾਦ ਦੇ ਵਰਕਫਲੋ ਰਾਹੀਂ ਸੰਭਾਲੋ ਅਤੇ ਲਾਗੂ ਕਰੋ, ਫਿਰ ਟੈਸਟ ਗਾਹਕ ਦੁਬਾਰਾ ਜੋੜੋ, ਕਿਉਂਕਿ ਨੀਤੀ ਕਨੈਕਸ਼ਨ ਸਮੇਂ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ।

ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਵੱਖਰੇ ਮੀਨੂ ਵਰਤਦੇ ਹਨ ਅਤੇ ਕੁਝ Community OpenVPN ਬਿਲਡਾਂ ਵਿੱਚ ਬਰਾਬਰ ਨਿਯੰਤਰਣ ਨਹੀਂ ਹੈ। ਨਾ-ਮੌਜੂਦ ਸਕ੍ਰੀਨ ਲੱਭਣ ਤੋਂ ਪਹਿਲਾਂ ਸਥਾਪਿਤ ਮੁੱਖ ਸੰਸਕਰਣ ਜਾਂਚੋ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਗਾਹਕ ਨੂੰ ਕੀ ਮਿਲਿਆ: ਪੂਰੇ ਟਨਲ ਦੀ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਟਨਲ ਰਾਹੀਂ ਡਿਫਾਲਟ ਮਾਰਗ ਸਥਾਪਿਤ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਵੰਡੇ ਟਨਲ ਦੀ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਅਜਿਹਾ ਨਹੀਂ ਕਰਨਾ ਚਾਹੀਦਾ।

ਟਨਲ ਤੋਂ ਬਾਅਦ ਪੈਕਟ ਦਾ ਪਤਾ ਲਗਾਓ

ਗਾਹਕ ਵੱਲੋਂ ਇੰਟਰਨੈੱਟ ਟ੍ਰੈਫਿਕ ਟਨਲ ਵਿੱਚ ਭੇਜਣ ਤੋਂ ਬਾਅਦ ਸਰਵਰ ਨੂੰ ਇਹ ਫਾਰਵਰਡ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਆਮ ਤੌਰ ਤੇ ਅਨੁਵਾਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। Access Server ਆਪਣੇ NAT ਅਤੇ ਰੂਟਿੰਗ ਨਿਯਮਾਂ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਤਿਆਰ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਵਿੱਚ Community OpenVPN ਨਿਯਮ ਜੋੜਨ ਦੀ ਥਾਂ ਪ੍ਰਭਾਵੀ ਸੰਰਚਨਾ ਪੜ੍ਹੋ; ਪ੍ਰਬੰਧਿਤ ਨਾ ਕੀਤੇ ਨਿਯਮ ਅਗਲੇ ਉਤਪਾਦ ਅਪਡੇਟ ਤੇ ਉੱਪਰ ਲਿਖੇ ਜਾਂਦੇ ਹਨ ਜਾਂ ਟਕਰਾ ਜਾਂਦੇ ਹਨ। sudo iptables -t nat -L -n -v ਜਾਂ nftables ਦਾ ਬਰਾਬਰ ਦੱਸਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਅਨੁਵਾਦ ਹੋ ਰਿਹਾ ਹੈ।

AWS ਪਾਸਾ ਵੱਖਰਾ ਮਾਰਗ ਹੈ। ਜਨਤਕ ਸਬਨੈੱਟ ਦਾ ਇੰਸਟੈਂਸ ਸਿੱਧਾ ਇੰਟਰਨੈੱਟ ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਅਤੇ ਆਪਣਾ ਜਨਤਕ ਪਤਾ ਜਾਂ ਲਚਕਦਾਰ IP ਰੱਖਦਾ ਹੈ। ਨਿੱਜੀ ਸਬਨੈੱਟ ਦੇ ਇੰਸਟੈਂਸ ਨੂੰ NAT ਗੇਟਵੇ ਜਾਂ NAT ਇੰਸਟੈਂਸ ਤੱਕ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ NAT ਡਿਵਾਈਸ ਨੂੰ ਆਪਣਾ ਇੰਟਰਨੈੱਟ ਗੇਟਵੇ ਤੱਕ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ। ਇੰਟਰਨੈੱਟ ਗੇਟਵੇ ਨੂੰ VPC ਨਾਲ ਜੋੜਨਾ ਇਕੱਲਾ ਕਿਸੇ ਨਿੱਜੀ ਸਰੋਤ ਨੂੰ ਜਨਤਕ ਵਾਪਸੀ ਪਤਾ ਨਹੀਂ ਦਿੰਦਾ, ਇਸ ਲਈ ਉਹੀ Access Server ਸੈੱਟਅਪ ਇੱਕ ਸਬਨੈੱਟ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਵਿੱਚ ਚੁੱਪਚਾਪ ਫੇਲ ਹੁੰਦਾ ਹੈ।

ਇੰਸਟੈਂਸ ਦੇ ਸਬਨੈੱਟ ਨਾਲ ਜੁੜੀ ਮਾਰਗ ਸਾਰਣੀ ਜਾਂਚੋ, ਸਿਰਫ਼ VPC ਦੀ ਮੁੱਖ ਸਾਰਣੀ ਨਹੀਂ। ਸਬਨੈੱਟ ਸੰਬੰਧ ਮੁੱਖ ਸਾਰਣੀ ਨੂੰ ਮਾਤ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਪੁਰਾਣਾ ਸੰਬੰਧ ਆਮ ਕਾਰਨ ਹੈ ਕਿ ਕੰਮ ਕਰਦੀ ਸੰਰਚਨਾ ਮੁੜ ਨਿਰਮਾਣ ਤੋਂ ਬਾਅਦ ਰੁਕ ਜਾਂਦੀ ਹੈ।

IP ਨਿਕਾਸ ਅਤੇ DNS ਵੱਖਰੇ ਰੱਖੋ

ਇੱਕੋ ਗਾਹਕ ਐਪ ਤੋਂ ਪਹਿਲਾਂ ਪਤੇ ਦਾ ਸ਼ਬਦੀ ਰੂਪ ਅਤੇ ਫਿਰ ਨਾਮ ਜਾਂਚੋ। ਜੇ curl -4 https://checkip.amazonaws.com ਜਨਤਕ ਪਤਾ ਵਾਪਸ ਦਿੰਦਾ ਹੈ ਪਰ ਹੋਸਟਨਾਮ ਫੇਲ ਹੁੰਦੇ ਹਨ, ਤਾਂ ਟਨਲ ਅਤੇ NAT ਮਾਰਗ ਕੰਮ ਕਰ ਰਹੇ ਹਨ ਅਤੇ ਸਮੱਸਿਆ DNS ਵਿੱਚ ਹੈ: ਭੇਜਿਆ ਰਿਜ਼ੋਲਵਰ, ਗਾਹਕ ਦੀ ਰਿਜ਼ੋਲਵਰ ਸਥਿਤੀ, ਜਾਂ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਰੋਕਣ ਵਾਲਾ ਸੁਰੱਖਿਆ ਗਰੁੱਪ। Access Server ਦੀਆਂ DNS ਸੈਟਿੰਗਾਂ ਉਸੇ Internet Access ਖੇਤਰ ਵਿੱਚ ਹਨ, ਪਰ ਉਹ ਵੱਖਰੇ ਕੋਡ ਮਾਰਗ ਰਾਹੀਂ ਜਾਂਦੀਆਂ ਹਨ।

ਵਾਪਸ ਮਿਲੇ ਪਤੇ ਦੀ ਤੁਲਨਾ ਤੁਹਾਡੇ ਇਛਿਤ ਨਿਕਾਸ ਨਾਲ ਕਰੋ। ਜੇ ਇਹ ਇੰਸਟੈਂਸ ਦਾ ਜਨਤਕ ਪਤਾ ਹੈ, ਤਾਂ ਇੰਸਟੈਂਸ ਟ੍ਰੈਫਿਕ ਦਾ ਅਨੁਵਾਦ ਕਰ ਰਿਹਾ ਹੈ; ਜੇ ਇਹ NAT ਗੇਟਵੇ ਦਾ ਪਤਾ ਹੈ, ਤਾਂ ਨਿੱਜੀ ਸਬਨੈੱਟ ਮਾਰਗ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ। ਦੋਵੇਂ ਸਹੀ ਹੋ ਸਕਦੇ ਹਨ। ਤੁਸੀਂ ਇਹ ਨਤੀਜਾ ਨਹੀਂ ਕੱਢ ਸਕਦੇ ਕਿ ਸਰਵਰ ਤੇ ਬ੍ਰਾਊਜ਼ਰ ਗਾਹਕ ਫਾਰਵਰਡਿੰਗ ਸਾਬਤ ਕਰਦਾ ਹੈ।

ਇੱਕ ਚੈਕਬਾਕਸ ਜਾਂਚ ਬੰਦ ਨਾ ਕਰੇ

IPv6 ਵੱਖਰਾ ਫੈਸਲਾ ਹੈ। IPv4 ਲਈ ਪੂਰਾ ਟਨਲ ਨੀਤੀ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ ਕਿ IPv6 ਢੋਇਆ ਜਾਂਦਾ ਹੈ, ਰੋਕਿਆ ਜਾਂਦਾ ਹੈ ਜਾਂ ਲੀਕ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਦੋਹਰੇ ਸਟੈਕ ਵਾਲਾ ਗਾਹਕ IPv4 ਟਨਲ ਵਿੱਚ ਹੋਣ ਸਮੇਂ ਆਪਣਾ ਸਥਾਨਕ IPv6 ਮਾਰਗ ਵਰਤਦਾ ਰਹਿ ਸਕਦਾ ਹੈ। ਤੁਹਾਡੇ ਲਈ ਸੱਚਮੁੱਚ ਮਹੱਤਵਪੂਰਨ ਪਤਾ ਪਰਿਵਾਰ ਜਾਂਚੋ, ਅਤੇ ਸਪਸ਼ਟ ਤੌਰ ਤੇ ਫੈਸਲਾ ਕਰੋ ਕਿ ਦੂਜੇ ਨੂੰ ਬੰਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਜਾਂ ਨਹੀਂ।

ਅੰਤ ਵਿੱਚ, ਡਿਸਕਨੈਕਟ ਹਾਲਤ ਜਾਂਚੋ। ਪੂਰਾ ਟਨਲ ਚੋਣ ਜੁੜੇ ਹੋਣ ਸਮੇਂ ਦੀ ਰੂਟਿੰਗ ਨੀਤੀ ਦੱਸਦੀ ਹੈ, ਟਨਲ ਡਿੱਗਣ ਤੇ ਕੀ ਹੁੰਦਾ ਹੈ ਨਹੀਂ। ਜੇ ਲੋੜ ਇਹ ਹੈ ਕਿ VPN ਤੋਂ ਬਾਹਰ ਕੋਈ ਟ੍ਰੈਫਿਕ ਨਾ ਬਚੇ, ਤਾਂ ਇਹ kill-switch ਅਤੇ ਫਾਇਰਵਾਲ ਦਾ ਸਵਾਲ ਹੈ, ਅਤੇ ਮਾਰਗ ਸਾਰਣੀ ਤੋਂ ਅੰਦਾਜ਼ੇ ਦੀ ਥਾਂ ਇਸ ਦੀ ਆਪਣੀ ਜਾਂਚ ਚਾਹੀਦੀ ਹੈ।