بشپړ تونل د Access Server په EC2 کې: ولې یوه چیک بکس بس نه ده

د EC2 په نمونه کې د سرچینې او منزل تفتیش بندول د Access Server د انټرنېټ وتلو په اړه تر ټولو ډېر تکرارېدونکی ځواب دی، او یوازې هغه ستاسو پیرودونکو لپاره هېڅ نه کوي. تفتیش د AWS د لېږد محدودیت دی: نمونه ته اجازه ورکوي چې هغه پاکټونه ومني چې سرچینه یا منزل یې خپل پته نه ده. دا پیرودونکي ته نه وایي چې انټرنېټ ترافیک د تونل له لارې ولېږي، نه پورته لاره جوړوي او نه NAT ورزیاتوي. افسانه دا ده چې چیک بکس پخپله ځانګړتیا ده.

تفتیش واقعاً څه کنټرولوي

هر EC2 شبکه یی انټرفېس هغه ترافیک غورځوي چې خپل لوري ته نه وي لېږل شوی، پرته له دې چې نمونه د روټر، NAT وسیلې یا VPN دروازې په توګه کار وکړي او تاسو هغه تفتیش بند کړئ. بندول یې د لېږد اجازه ورکوي. اجازه کنفیګریشن نه ده: نمونه لا هم انټرنېټ دروازې یا NAT وسیلې ته لاره غواړي، د VPC د لارو جدول لا هم سمه نوملړ غواړي، امنیتي ګروپونه باید لا هم جریان ته اجازه ورکړي، او سرور باید لا هم د بېرته راتلونکي ترافیک ژباړه یا لارښوونه وکړي.

له هر بدلون مخکې اوسنی ارزښت د aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck په مرسته وګورئ. که یې په کنسول کې بدل کړئ، دا کار وکړئ ځکه چې نمونه د نورو لپاره لېږدوي، نه ځکه چې پیرودونکی انټرنېټ ته نه رسېږي.

د پیرودونکي د لارښوونې تګلاره د Access Server ده

په Access Server 3 کې Access Controls پرانیزئ او Internet Access and DNS برخه ومومئ. د Internet Gateway غوره توب بشپړ یا ووېشل شوی تونل وړاندې کوي؛ بشپړ تونل پیرودونکي ته وایي چې خپل اصلي ترافیک VPN ته دننه کړي، ووېشل شوی تونل انټرنېټ ترافیک د پیرودونکي په سیمه ییزه لاره کې پرېږدي. د محصول د کاري بهیر له لارې خوندي او پلي کړئ، بیا ازموینه یی پیرودونکی بیا وصل کړئ، ځکه تګلاره د نښلېدو پر مهال سپارل کیږي.

پخوانۍ نسخې بېلې مینو ګانې کاروي او ځینې Community OpenVPN جوړښتونه سمې کنټرول نه لري. له ناموجود سکرین پلټنې مخکې نصب شوې اصلي نسخه وګورئ. بیا تایید کړئ چې پیرودونکي څه ترلاسه کړل: د بشپړ تونل پروفایل باید د تونل له لارې اصلي لاره نصب کړي، او د ووېشل شوي تونل پروفایل باید داسې ونه کړي.

له تونل وروسته پاکټ تعقیب کړئ

کله چې پیرودونکی انټرنېټ ترافیک تونل ته ولېږي، سرور باید هغه ولېږدوي او معمولاً یې ژباړه وکړي. Access Server خپل NAT او لارښوونې قواعد اداره کوي، نو د جوړو شوو فایلونو ته د Community OpenVPN قواعدو د ورزیاتولو پر ځای اصلي کنفیګریشن ولولئ؛ نه اداره شوي قواعد په راتلونکي محصول تازه کې لیکل کیږي یا ټکر کوي. sudo iptables -t nat -L -n -v یا د nftables سیال ښیي چې واقعاً څه ژباړل کیږي.

د AWS خوا بېله لاره ده. په عامه سبنیټ کې نمونه انټرنېټ دروازې ته مستقیم رسېږي او خپله عامه پته یا انعطاف منونکې IP ساتي. په شخصي سبنیټ کې نمونه NAT دروازې یا NAT نمونې ته لاره غواړي، او NAT وسیله خپله لاره انټرنېټ دروازې ته غواړي. انټرنېټ دروازې VPC ته نښلول پخپله هېڅ شخصي سرچینې ته عامه بېرته راتلونکې پته نه ورکوي، ځکه همدا یو شان Access Server ترتیب په یوه سبنیټ کې کار کوي او په بل کې په خاموشۍ ناکامېږي.

د نمونې له سبنیټ سره تړلی د لارو جدول وګورئ، نه یوازې د VPC اصلي جدول. د سبنیټ تړاوونه اصلي جدول ته ماتې ورکوي، او زوړ تړاو یو عام لامل دی چې کار کوونکی ترتیب له بیا جوړونې وروسته ودروي.

IP وتل او DNS بېل وساتئ

لومړی د پتې لیکلی بڼه او بیا نوم له همدې پیرودونکي اپلیکیشن څخه وآزمویئ. که curl -4 https://checkip.amazonaws.com عامه پته بېرته راوړي خو کوربه نومونه ناکام شي، تونل او NAT لاره کار کوي او ستونزه DNS ده: لېږل شوی حل کوونکی، د پیرودونکي د حل کوونکي حالت، یا د امنیت ګروپ چې حل کوونکی بندوي. د Access Server د DNS تنظیمات په همدې Internet Access سیمه کې دي، خو دوی بېله کوډ لاره وهي.

بېرته راغلې پته له هغه وتلو سره پرتله کړئ چې تاسو یې اراده لرله. که دا د نمونې عامه پته وي، ترافیک د نمونې لخوا ژباړل کیږي؛ که دا د NAT دروازې پته وي، شخصي سبنیټ لاره کارول کیږي. دواړه سم کېدای شي. هغه څه چې تاسو یې نتیجه نشئ کولی دا دي چې په سرور کې براوزر د پیرودونکي لېږد ثابتوي.

پرېنږدئ یو چیک بکس پلټنه بنده کړي

IPv6 بېله پرېکړه ده. د IPv4 لپاره بشپړ تونل تګلاره هېڅ نه وایي چې IPv6 لېږل کیږي، بندېږي یا تویېږي، او دوه ګوني سټیک پیرودونکی کولای شي خپله سیمه ییزه IPv6 لاره ادامه ورکړي پداسې حال کې چې IPv4 په تونل کې دی. هغه پتې کورنۍ وآزمویئ چې واقعاً تاسو ته مهمه ده، او په روښانه ډول پرېکړه وکړئ چې بله باید بنده شي که نه.

په پای کې، د پرې شوي حالت ازموینه وکړئ. د بشپړ تونل غوره توب د نښلېدو پر مهال د لارښوونې تګلاره بیانوي، نه هغه څه چې کله تونل ولویږي پېښېږي. که اړتیا دا ده چې هېڅ ترافیک له VPN څخه بهر وتښتي، دا د kill-switch او اور وژونکي دیوال پوښتنه ده، او له لارو جدول څخه د اټکل پر ځای خپله ازموینه غواړي.