AWS Client VPN وصل دی خو انټرنیټ نشته: د لارو کتنه

AWS Client VPN وصل دی خو انټرنیټ ته لاسرسی نشته؟ د کلاینټ لارې، د پای نقطې اجازه، د فرعي شبکې وتل او DNS په همدې ترتیب وګورئ.

تاسو د AWS Client VPN پای نقطې سره وصل یاست، خصوصي فرعي شبکه ځواب ورکوي، او بیا هم هر عامه پاڼه د وخت په تمامېدو پای ته رسېږي. دا ترکیب ستونزه د مدیریت شوي اړخ درې شیانو څخه یو ته محدوده کوي: هغه لار چې کلاینټ نصبوي، د پای نقطې لاره د هغې د اجازې قانون سره، یا د تړلې فرعي شبکې راتلونکی ټوپ. زه دوی په همدې ترتیب ګورم، ځکه چې هر نیمګړتیا د کلاینټ له اړخه بېله ښکاري. دا لارښود د VPC سره تړلې مدیریت شوې پای نقطې لپاره دی، نه په EC2 انسټانس کې OpenVPN سرور او نه د Cloud WAN یا Transit Gateway تړاو.

له هغه څه پیل وکړئ چې کلاینټ واقعاً یې لارښوونه کوي

د وصل حالت د TLS غونډې او کلاینټ ته د CIDR ورکړې ثبوت ورکوي، نور څه نه. د عملیاتي سیستم څخه وپوښتئ چې عامه پته به چېرته ځي، تر هغه چې تونل ولاړ دی. په Linux کې ip route get 1.1.1.1 باید د تونل انټرفیس نوم واخلي؛ په macOS کې netstat -rn -f inet | head -5 ډیفالټ ننوتل ښيي؛ په Windows کې Find-NetRoute -RemoteIPAddress 1.1.1.1 ټاکل شوی انټرفیس او راتلونکی ټوپ چاپوي.

بیا د split-tunnel بیرغ ولولئ، ځکه چې دا فیصله کوي چې آیا د پای نقطې خپرې شوې لارې هغه یوازیني منزلونه دي چې کلاینټ تونل ته لیږي:

aws ec2 describe-client-vpn-endpoints \
  --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 \
  --query 'ClientVpnEndpoints[0].SplitTunnel'

کله چې SplitTunnel true وي، عامه منزل تونل یوازې هغه وخت کاروي چې پای نقطه د هغې پوښونکې لاره خپره کړي، نو نیمګړې 0.0.0.0/0 هغه ټرافیک په محلي انټرفیس کې پرېږدي. که false وي، کلاینټ ټرافیک نیسي، خو پای نقطه لاهم باید د هغې لارښوونه او اجازه ورکړي؛ که نه، پاکټونه تونل ته ننوځي او هلته دریږي. د دوو تنظیماتو له بدلولو وروسته کلاینټ بیا وصل کړئ، ځکه چې لارې او DNS سرورونه د وصل په وخت کې ورکول کیږي او روان کلاینټ کولای شي پخوانی سیټ وساتي.

د پای نقطې لاره او د اجازې قانون جلا ولولئ

دا دوه شیان دي، او یو جوړول بل نه جوړوي. د پای نقطې لارې لیست کړئ او هغه ډیفالټ لاره ولټوئ چې هدف یې تړلې فرعي شبکه ده:

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

هره لاره دقیقاً یوه هدف فرعي شبکه لري، نو درې تړاوونه د هر یوه لپاره مناسبه ډیفالټ لاره غواړي. AWS دا د پوښښ غوښتنه مستنده کوي، او د تشې عملي نښه هغه کارونکی دی چې له یوې فرعي شبکې کار کوي او له بلې بند پاتې کیږي، چې د ورکې لارې پر ځای د وخت په وخت خرابۍ په توګه لوستل کیږي. رسمي د Client VPN سناریو اسناد هغه عامه فرعي شبکې ترتیب بیانوي چې دا لارې ورته اړه لري.

اجازه دویم شی دی. کله چې هیڅ قانون عامه منزل نه پوښي، تونل پاکټ وړي او خدمت یې غورځوي، نو خصوصي سرچینې کار کوي خو انټرنیټ نه:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

د VPC CIDR لپاره قانون د 0.0.0.0/0 په اړه هیڅ نه وایي. د بشپړ تونل لپاره د نیمګړو برخو زیاتول یوه لاره د هرې تړلې فرعي شبکې لپاره او یو د اجازې قانون چې وروسته یې پلټنه کولای شئ:

aws ec2 create-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 create-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all \
  --description "internet egress for full tunnel"

--access-all هر کلاینټ ته منزل ورکوي، نو یوازې تر هغه یې وساتئ چې تونل باید بشپړ وي؛ کله چې د تړلو ګروپونه ولرئ، د لارښود ګروپ سره تړلی قانون غوره دی.

پاکټ له تړلې فرعي شبکې بهر تعقیب کړئ

د پای نقطې لاره فیصله کوي چې AWS پاکټ هغې فرعي شبکې ته ورکوي. دا له هغې وروسته راتلونکی ټوپ نه فیصله کوي، هغه د فرعي شبکې په خپله VPC د لارو جدول کې دی:

aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0a1b2c3d4e5f67890 \
  --query 'RouteTables[].Routes[?DestinationCidrBlock==`0.0.0.0/0`]'

د کارولو وړ ډیفالټ لاره عامه فرعي شبکې لپاره انټرنیټ ګیټوې ته، یا خصوصي لپاره NAT ګیټوې ته اشاره کوي، او blackhole حالت مانا دا ده چې هدف ړنګ شوی او لاره اوس په چوپتیا مري. دا د پای نقطې د لارو لیست څخه بېل جدولونه دي، او یو سمول بل نه سمول کیږي.

په دې ټوپ دوه فلټرونه ناست دي. د هدف شبکې تړاو ته تطبیق شوې امنیتي ډله باید عامه منزل ته د وتلو ټرافیک اجازه ورکړي، او هر اړونده شبکه ACL باید غوښتنې او د لنډمهاله پورټونو بېرته راستنېدونکي ټرافیک اجازه ورکړي. محدود کوونکې تړاو امنیتي ډله یو عام دلیل دی چې خصوصي لاسرسی کار کوي خو عامه نه.

د دریو په یو وخت بدلولو پر ځای له نښې لومړی پوړ وټاکئ:

What you observeLayer to check first
No tunnel interface for a public IPClient route or split-tunnel flag
Tunnel interface chosen, request times outEndpoint route and authorization rule
Endpoint route present, still times outSubnet route table, association security group
Named host fails, numeric address worksDNS servers and their own authorization

DNS نیمګړتیا له مړې لارې جلا کړئ

د نومونو حل له لیږلو څخه بېل ډول ناکام کیږي، او بشپړ تونل دا توپیر مهم کوي ځکه چې اوس هلې وهل شوې حل کوونکې ته د تونل له لارې رسېدل کیږي. که پای نقطه د VPC DNS سرورونه وټاکي، د هغوی پتو ته لکه هر بل منزل د لارې پوښښ او اجازه غواړي. کومه نیمګړتیا لرئ، د هغې لپاره مستقیم له حل کوونکې وپوښتئ: dig +short example.com @10.0.0.2، یا nslookup example.com 10.0.0.2 په Windows کې.

کله چې عددي URL ځواب ورکړي او نوم لرونکی نه، نو د ډیفالټ لارې سمول بند کړئ او پر DNS کار وکړئ. IP پتې ته غوښتنه د نوم لرونکي مجازي هوسټ او د هغې د سند په اړه هیڅ نه ثابتوي، نو په پای کتنه کې یوه نوم لرونکې ازموینه وساتئ.

وخت مرسته کوي. هغه TCP تړاو چې په څو ثانیو کې ځواب نه اخلي د لارښوونې یا فلټر په لور اشاره کوي، خو هغه غوښتنه چې د نوم پلټنې دننه ځړېدلې ده حل کوونکې ته اشاره کوي. کله چې حل کوونکې نه رسیږي، د ډیفالټ لارې بدلول معمولاً یوه نیمګړتیا دوه کوي.

په پاکه توګه بیرته وګرځئ، بیا د وتلو لاره تایید کړئ

دواړه شیان زیاتوونکي وو، نو بیرته ګرځېدل ړنګول دي نه سمول:

aws ec2 delete-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 delete-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all

بیا وصل شئ او تایید کړئ چې ټرافیک کومه لاره وتل کیږي. لیدل شوې عامه پته د NAT ګیټوې د انعطاف منونکې IP پتې سره، یا هغې انټرنیټ ګیټوې سره پرتله کړئ چې غواړئ یې وکاروئ، او وګورئ چې خصوصي سرچینه په هماغه غونډه کې لاهم ځواب ورکوي.

له لنډ لیست سره پای ته ورسئ او اخرنی ټکی د اسنادو نه، د بدلون برخه وګڼئ:

  • د هرې تړلې فرعي شبکې لپاره یوه 0.0.0.0/0 د پای نقطې لاره.
  • هغو کلاینټونو لپاره چې غواړئ خدمت ورته وکړئ 0.0.0.0/0 پوښونکی د اجازې قانون.
  • په هره تړلې فرعي شبکه کې هغه VPC ډیفالټ لاره چې blackhole نه وي.
  • د تړاو امنیتي ډلې وتل، او د ACL بېرته راستنېدونکی ټرافیک.
  • د حل کوونکې پتې لارښوونې شوې او اجازه ورکړل شوې، په نوم لرونکې غوښتنه تایید شوې.
  • د لارې او قانون لپاره ثبت شوی بیرته ګرځېدل.

یوه د حدود یادونه: دا IPv4 لاره ده. دوه ګونی سټیک کلاینټ هغه IPv6 تړاو ساتي چې مخکې یې لري، نو IPv6 ډیفالټ لاره جلا فیصله ده چې خپله اجازه لري، نه د دې اړخیزه اغېزه.

اړوندې مقالې