EC2 په لاسرسي زونونو کې: له VPN مخکې لارښوونه وګورئ

له دې مخکې چې د دوو EC2 انسټانسونو ترمنځ د VPN سافټویر نصب کړئ، یوې پوښتنې ته ځواب ووایاست: ایا دوی په یوه VPC کې دي؟ که داسې وي، شخصي لار لا دمخه شته او د زونونو ترمنځ ځای پرځای کول دا نه بدلوي. په دې حالت کې ډیره کار دا ده چې تایید کړئ هر سبنیټ په حقیقت کې کوم د لارښوونې جدول کاروي، او بیا ومومئ چې ایا ناکامي په اصل کې د لارښوونې ستونزه وه. ټانل معمولا د دې ځانګړې پوښتنې لپاره غلط ځواب دی.

کتنه 1: ورته VPC یا بیلابیل VPC

VPC سیمه ییز دی او د لاسرسي زونونه رانغاړي، پداسې حال کې چې هر سبنیټ په دقیق ډول یو زون پورې اړه لري. په یوه VPC کې د بیلابیلو زونونو دوه انسټانسونه لا هم د ورته شخصي لارښوونې ډومین دننه دي.

بیلابیل VPCونه هیڅکله شخصي لار یوازې د دې لپاره نه ترلاسه کوي چې یوه سیمه یا د زون نښه شریکوي. دغه حالت د ملاتړ شوي اړیکې او د لارو او اجازو خپل کار ته اړتیا لري، چې جلا پریکړه ده.

کتنه 2: د سبنیټ د لارښوونې جدولونه څه وایي

د حقیقي ارزښتونو سره ترتیب ولیکئ. یو VPC په 10.60.0.0/16 کې، د سبنیټونو سره 10.60.1.0/24 او 10.60.2.0/24 انسټانسونو ته 10.60.1.10 او 10.60.2.20 د VPC د ځایي لارې له لارې لار ورکوي.

بیا دواړو سبنیټونو پورې تړلي جدولونه وګورئ، نه یوازې هغه چې لومړی مو وموند. یو ډیر ځانګړی کتنې یا وسیلې لار کولای شي بنسټیزه لار له پامه وغورځوي، او د ځایي لار هدف پخپله په نویو ترتیباتو کې بدلیدلی شي. په کنسول کې چیرې لیدل شوې ځایي لار دا ثابته نه کوي چې دواړه کاري بارونه یې کاروي.

هغه شخصي پته او نومونه وکاروئ چې VPC واقعا ورکوي. شخصي پته اړ نه ده چې په 10 پیل شي، او له حافظې څخه یوه جوړول هغه لار ده چې یو فعال چاپیریال ورته غلط تشخیص کیږي.

کتنه 3: لارښوونه یا اجازه

لارښوونه یوازې بنډل د هدف شبکې انټرفیس ته رسوي. د هدف امنیتي ګروپ لا هم باید سرچینه او خدمت ومني، د سرچینې وتلو قواعد باید غوښتنې ته اجازه ورکړي، او هر شبکه یی ACL باید دواړه لوري اجازه ورکړي ځکه چې ACLونه حالت نه ساتي.

له هغې وروسته د میلمه فایرول، د اوریدونکي تړل او د اپلیکیشن خپله هویت دی. هر یو یې کولای شي هغه غوښتنه رد کړي چې لارښوونې په بشپړ ډول رسولې وه.

منل باید د اپلیکیشن ریښتیني عملیات وي. بریالی ping د اپلیکیشن لاسرسی نه ورکوي او نه ثابته کوي چې د TLS نوم او اسناد سم دي، او بند شوی ping نه ثابته کوي چې هر شخصي خدمت بند دی.

کتنه 4: ایا واقعا جلا اړیکه ته اړتیا ده

VPN لا هم کولای شي په ډیزاین کې وي، مګر د بیان شوې دلیل له مخې: دې VPC ته له دفتر سره نښلول، لیپ ټاپونو ته اجازه ورکول یا د پوښ لایه اړتیا پوره کول. هغه دلیل د یوه VPC دننه د عادي اړیکو څخه توپیر لري.

همدا راز په یاد ولرئ چې VPC څه نه دی. دا د کور د Ethernet برخې غځول نه دی. هغه اپلیکیشن چې پر خپریدونکي کشف تکیه کوي، د ارزولو لپاره جلا اړتیا لري. دا د ډیزاین تشه ده نه د لارښوونې بګ.

کتنه 5: د کوډ کولو پوښتنه

شخصي پته او د اجازې قاعده د اپلیکیشن په پرت کې د کریپټوګرافیک ساتنې په اړه هیڅ نه وایي. که ډیټا له یوې خوا تر بلې پورې ساتنې ته اړتیا ولري، هغه له هغه پروتوکول او هویت ماډل څخه راځي چې خدمت واقعا یې ملاتړ کوي.

په ډیزاین یادښت کې د شبکې پرت او د اپلیکیشن پرت ادعاوې جلا وساتئ، ځکه چې یوځای کول یې هغه لار ده چې بیاکتنه په پای کې د هغې ساتنې ادعا کوي چې چا نه ده پلي کړې.

څه باید ثبت شي

دواړه د سبنیټ پیژندونکي، له هر یو سره تړلی د لارښوونې جدول، د امنیتي ګروپونو حوالې او هغه اپلیکیشن عملیات چې تاسو ازمويلي ثبت کړئ. دا څلور حقایق دي او د دې لارې په اړه ډیری راتلونکي جنجالونه حل کوي.

یوازې په زون کې ځای پرځای کول هیڅکله نه وایي چې VPN اضافه کړئ، او هیڅکله نه تشریح کوي چې ولې شخصي غوښتنه ناکامه شوه.