strongSwan په EC2 کې: VPC دې کاري بار ووړي

تونل فعال دی، د دروازې نمونه کولی شي لرې شبکه پنګ کړي، خو تر څنګ یې د اپلیکیشن نمونه هیڅ ځای ته نه رسېږي۔ هیڅ شی خراب نه دی۔ بریالۍ ازموینه د VPN کوربه باندې پیل شوې وه او هېڅکله یې ونه پوښتل چې آیا هغه کوربه کولی شي د همدې IPsec اړیکې له لارې بله سرچینه پته ولېږدوي۔ دا لارښود هغه تشه په څلورو ګامونو بندوي، په هغه ترتیب چې هره ناکامي ښکاره ساتي۔

لومړی څلور پتې ولیکئ

لاندې هر ګام هغو ته اشاره کوي، نو د لارښود جدول لمس کولو دمخه یې خپل حساب لپاره ډک کړئ۔

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

بېلګه یو منظور شوی، فعاله د تګلارې پر بنسټ IPsec اړیکه او د سرچینې ساتونکی بهیر فرض کوي۔ دا د NAT سره لرې لاسرسي کلینټ نه دی چې یوه ټاکل شوې پته پور واخلي، او دا توپیر هغه څه ټاکي چې آیا ټاکنکي باید بدل شي۔

ګام 1: د کاري بار فرعي شبکې ته لار ورکړئ

هغه لارښود جدول چې واقعاً د کاري بار فرعي شبکې سره تړلی دی، د لرې مخکښ لپاره د دروازې د شبکې انټرفېس ته اشاره کوونکې لار ته اړتیا لري۔ د نمونې دننه نصب شوې مېلمه لار په هغه AWS لارښود جدول کې اندراج نه دی او د strongSwan هېڅ تنظیم به یې جوړ نه کړي۔

د AWS د وسیلې له لارې د لارښوونې لارښود د شبکې انټرفېس هدفونه او د لېږدونکې نمونې د سرچینې/منزل تفتیش اړتیا بیانوي۔ دا تفتیش بدلون د دروازې رول ته محدود کړئ او عادي اپلیکیشن نمونې په ارامه پرېږدئ۔

د یوې منظور شوې شبکې لپاره د ځای جوړولو لپاره د VPC ځایي لار یا هر موجود اندراج مه بدل کړئ۔ وګورئ څه تړلي او فعال دي، نه هغه څه چې کنسول پاڼه د هغه لارښود جدول لپاره ښیي چې هیڅوک یې نه کاروي۔ دوه ورته جدولونه کېدای شي مختلف تړاوونه ولري۔ مهم هغه دی چې د کاري بار فرعي شبکه ورسره تړلې ده۔

ګام 2: په مېلمه کې لېږد فعال کړئ

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

کرنل باید ولېږدوي او د کوربه اور وژونکی باید تېرېدل اجازه کړي۔ د هر څه منلو پرځای د کاري بار او لرې مخکښونو لپاره ټاکل شوي لېږد قواعد اضافه کړئ او تایید کړئ چې د دروازې فرعي شبکه د خپل ترافیک لپاره کاریدونکې ټرانسپورټي لار ساتي۔

د امنیت ګروپونه هغه ځای دی چې دا ګام معمولاً ودرېږي۔ منځګړی وسیله د نمونو ترمنځ د مستقیمې اړیکې د امنیت ګروپ د حوالې چلند نه میراث اخلي، نو له یوه مدیریت شوي Client VPN بېلګې څخه کاپي شوې قاعده کېدای شي هېڅکله مطابقت ونه کړي۔ په ریښتیني لار کې امنیت ګروپ او د فرعي شبکې ACL په دواړو لورو وګورئ۔

ګام 3: ټاکنکي تر ریښتینو سرچینو پراخ کړئ

هغه تګلاره چې د AWS په اړخ کې یوازې 10.60.1.10/32 پوښي، له دروازې پیل شوې بریا تشریح کوي پرته له دې چې 10.60.2.20 پوښي۔ لرې منزل ته لار د ترافیک ټاکنکی نه پراخوي، او دا د همدې حیرانتیا دویمه نیمه ده۔

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

که هوکړه شوې ډیزاین ټول VPC ساتي، دواړه خواوې باید 10.60.0.0/16 او 10.90.0.0/24 ومني۔ که یوازې یو کاري بار ساتي، هغه تنګه مخکښه په قصد وکاروئ۔ په هر حال، نصب شوې CHILD-SA تګلاره وګورئ، ځکه هغه تنظیم چې تاسو یې سم کړی او هغه خوا چې بل ډول یې تنګ کړی، یو شان هوکړه نه ده۔

لرې سایټ باید د ساتل شوو VPC سرچینو ځوابونه هم د ټاکل شوې IPsec دروازې له لارې بیرته ووړي۔ د ساتل شوي ترافیک لپاره د ملاتړ شوي NAT استثنا هغه ځای وساتئ چې د سرچینې NAT نور قواعد شته؛ د نه منل شوي کاري بار په اجازه ورکړل شوې کوربه پته بدلول بېل شناخت تړون دی، نه د غوښتل شوي لاسرسي لنډه لار۔

ګام 4: تایید کړئ، بیا که اړتیا وي بیرته وګرځئ

د کاري بار له خپله ځانه د یوې نوې اجازه ورکړل شوې اپلیکیشن عملیې سره ازموینه وکړئ، بیا هغه منزل سره تکرار کړئ چې باید خارج شي۔ هغه سرچینه پته ولیکئ چې لرې خدمت یې ویني او هغه بیرته ستنېدونکې لار چې کاروي یې۔ دروازې ته پنګ یا شنه IKE حالت هغه ازموینه نه ده۔

که دروازه کار کوي او کاري بار بیا هم ناکام شي، په ګامونو کې په ترتیب سره بیرته لاړ شئ: ټاکنکی، بیا لېږد او امنیت ګروپونه، بیا تړلی لارښود جدول۔ هر یو خپله نښه لري، او اټکل کول هغه یو پریږدي چې واقعاً غلط دی۔

بیرته ګرځېدل هماغه ترتیب اړوي۔ د کاري بار د فرعي شبکې لار په پای کې لرې کړئ، وروسته له دې چې پخواني ټاکنکي بیا جوړ کړئ، ترڅو هغه فرعي شبکه پاتې نه شي چې داسې دروازې ته اشاره کوي چې نور یې سرچینې نه ساتي۔ کله چې دا تړونونه پلي وي، خپله کوربه توب کېدای شي له دروازې کوربه څخه ډېرو خدمت وکړي، او د AWS لخوا مدیریت شوی Site-to-Site VPN بېل عملیاتي ماډل دی چیرې چې strongSwan کېدای شي د پیرودونکي دروازې په اړخ کې کښېني۔