د یو AWS Client VPN ناستې شاته LAN: څه لیږدول کیږي

لپ ټاپ د AWS Client VPN پایني نقطې سره نښلوي، شخصي فرعي شبکې ته رسېږي، او هر څه روغ ښکاري. په همدې LAN کې ډیسکټاپ هیڅ ځای ته نه رسېږي، که څه هم Linux هوسټ هم پل لرونکی انټرفېس لري او دواړه ماشینونه په یوه تار دي. په تونل کې هیڅ شی غلط نه دی تنظیم شوی؛ ورکه برخه روټینګ دی، او پل یو ګمراه کوونکی نښه ده.

د Client VPN ناستې LAN ته پراخول د ګېټوې رول دی. دا په مدیریت شوې خدمت کې کش شوی Ethernet برخه نه ده.

هوسټ کار کوي او LAN نه

د Linux ماشین د تونل انټرفېس د Client VPN کلینټ CIDR دننه پته لري، او پایني نقطې د VPC ساحو لپاره روټونه لیږلي دي. په هغه ماشین باندې شوې غوښتنه په سیمه ییز ډول جوړ شوی ترافیک دی: یوه لار ټاکي، له تونل څخه وځي او ځواب اخلي. هغه لار هیڅکله د لیږد کوډ، د LAN انټرفېس یا د ترانزیټ کنټرول کوونکي اور وژونکي کوم قانون ته نه رسېږي.

له بل LAN وسیلې څخه راتلونکی ترافیک بېله بهیر دی. دا د LAN انټرفېس ته راځي، تونل ته اشاره کوونکې لار ته اړتیا لري، فعال لیږد ته اړتیا لري، هغه اور وژونکي ته اړتیا لري چې اجازه ورکړي، او ځواب باید له همغه هوسټ څخه بېرته راشي. څلور شرطونه، او کار کوونکی لپ ټاپ ازموینه یو هم ثابتوي نه. له ډیسکټاپ څخه ناکامي عجیبه ښکاري: تونل فعال دی، اعتبارنامې سمې دي، او منزل هیڅکله ځواب نه ورکوي. نقص د ګېټوې د لیږد په لاره کې سیمه ییز دی، په خدمت کې نه.

هر کلینټ نشي کولی ګېټوې وي

AWS وایي چې د دوی Client VPN ډیسکټاپ اپلیکیشن د IP لیږد ملاتړ نه کوي، او نور کلینټونه یې کولی شي. هغه محدودیت د هر امر د ټایپ کولو دمخه معماري ټاکي. که یوازینی شته کلینټ رسمي ډیسکټاپ اپ وي، د LAN لپاره لیږدونکې Linux ګېټوې هغه ترتیب نه دی چې تاسو یې بشپړولی شئ، او د masquerading هېڅ اندازه یې نه بدلوي.

بدیل کلینټ باید د پایني نقطې د تصدیق کړنې او هغې پالیسۍ سره هم سمون ولري چې غواړئ پلي یې کړئ. د سند، لارښود او SAML پر بنسټ پایني نقطې یو شان کلینټ ترتیبات نه مني، او هغه دریم لوري کلینټ چې تصدیق کوي خو لیږل شوي روټونه له پامه غورځوي، پرمختګ نه دی.

د کلینټ ټاکنه د ډیزاین بیاکتنې برخه وګڼئ. دا ټاکي چې د LAN لیږد بڼه په بشپړه توګه شته که نه، او ټاکي چې پایني نقطه د ګېټوې شاته هر وسیلې لپاره کوم هویت ویني. هغه کلینټ او د پایني نقطې ترتیب ثبت کړئ چې پر ضد یې ازموینه شوې. نیم کال وروسته د کلینټ بدلون کولی شي هغه وړتیا په خاموشۍ سره لرې کړي چې ډیزاین یې فرض کړې وه.

LAN تونل ته واستوئ او ژباړه یې کړئ

د ملاتړ شوي کلینټ په شتون کې پاتې نور عادي ګېټوې کار دی. LAN وسیلو ته د VPC ساحې لپاره د Linux هوسټ ته اشاره کوونکې لار ته اړتیا ده، او هوسټ ته فعال لیږد ته اړتیا ده. که غواړئ VPC ترافیک د یوې خپلې خوښې LAN پتې په توګه نه، بلکې د نښلول شوي کلینټ په توګه وویني، نو په وتلو کې سرچینه ژباړه کړئ.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

قانون د پورتې په څېر د تونل انټرفېس او د VPC ساحې پورې محدود کړئ، د هوسټ لیږدونکي هر څه masquerade کولو پرځای. تنګ قانون اسانه دی چې پرې فکر وشي، او هغه ترافیک په خاموشۍ سره نه بدلوي چې باید خپله اصلي سرچینه پته ساتلې وای.

که ممکن وي پرېږدئ LAN لار په خپله راشي: DHCP انتخاب، د روټر اعلان، یا هغه ثابته لار چې د LAN مدیریت کوونکی یې لیږي. هغه لار چې یوازې په یوه ازموینې ماشین کې وي، ډیزاین به هغه مهال مات ښکاره کړي چې بل څوک یې هڅه وکړي.

ځواب هم لارې ته اړتیا لري

کله چې غوښتنه VPC ته ورسېده، ځواب باید له هماغو ژباړې حالتونو بېرته راشي او په ګېټوې کې د LAN لاره ومومي. هغه برخه معمولاً هغه وخت کار کوي چې د masquerade قانون موجود وي، ځکه نقشه په هغه هوسټ کې ژوند کوي چې دا یې کړی. دا هغه وخت ماتېږي چې د VPC په اړخ کې داسې لار وي چې ځواب بل ځای ته لیږي، او له همدې امله د کلینټ CIDR لاره او په پایني نقطه کې د فرعي شبکې تړاو دواړه مهم دي.

یوازې ping نه، شمارونکي وګورئ. د صفر پیکټونو masquerade قانون تاسو ته وایي چې غوښتنه هیڅکله د تونل انټرفېس ته نه ده رسېدلې، چې دا د LAN لارې یا د کلینټ خپلې روټینګ جدول ته اشاره کوي. هغه قانون چې پیکټونه لري خو ځوابونه نه لري، د VPC اړخ، د اجازې قوانینو یا هغې امنیتي ډلې ته اشاره کوي چې ژباړل شوې سرچینه نه مني. مخکې له دې چې هر څه بدل کړئ دواړه لوري ولولئ، ځکه یوازې په یوه اړخ کې زیاتېدونکې شمېره ورو لار نه، بلکې یو لوري لار ده.

په یاد ولرئ چې پایني نقطه مدیریت شوې خدمت دی. د سمون لپاره د سرور د ترتیباتو فایل نشته او د زیاتولو لپاره client-config لارښوونه نشته، نو هغه لارښوونې چې د خپلې مدیریت شوې OpenVPN سرور لپاره د کلینټ د فرعي شبکې ځانګړو لارو سره لیکل شوې دي نه انتقالېږي. په AWS کې اهرمونه د فرعي شبکې تړاو، د اجازې قوانین او د VPC روټینګ جدولونه دي.

شریکه هویت هغه برخه ده چې پالیسي باید ځواب ورکړي

د ګېټوې شاته هره وسیله د ګېټوې VPN ناسته کاروي. د پایني نقطې د اجازې قوانین یو کاروونکي یا ډلې ته لاسرسی ورکوي، او د خدمت له نظره په هغې ناسته کې دقیقاً یو کاروونکی دی. سیمه ییز لیږد هغه هویت په هرې وسیلې تصدیق کې نه ضربوي، او د وسیلې د حالت ازموینې تر کونج کې پرتې چاپګر پورې نه غځوي.

دا کېدای شي منل شوې وي، یا دا هم کېدای شي د ډیزاین د ردېدو لامل وي. دا په دې پورې اړه لري چې د VPC سرچینې د دې په اړه څه فرض کوي چې څوک زنګ وهي. هغه شریکه هویت چې د اجازې ماډل سره ځای پرځای شي سمه ده؛ هغه چې یوه تصدیق شوې ناسته په خاموشۍ سره ټول LAN لاسرسي ته بدلوي، یوه موندنه ده چې د لیکلو په تمه ده.

که اړتیا واقعاً ټول سایټ VPC سره نښلول وي، مخکې له دې چې د لري لاسرسي کلینټ پراخ کړئ یو ملاتړ شوی سایټ-تر-سایټ ډیزاین پرتله کړئ. مانا توپیر لري، او کله چې VPC باید LAN ته اړیکې پیل کړي، NAT شوې کلینټ ناسته د سایټ لینک لپاره بده بدیله ده.

کلینټ، لار، ژباړه او د هویت کیسه په همدې ترتیب سره فیصله کړئ. هر یو بل ته محدودیت ورکوي، او ترتیب تشریح کوي چې ولې هوسټ کار کوي خو LAN نه.