VGW یا TGW؟ د AWS Site-to-Site IPsec تونل چېرته پای ته رسېږي

خلک پوښتنه کوي چې AWS Site-to-Site VPN بسته ساتل چېرته بندوي او یو ځواب تمه کوي: په ګیټوې۔ د دې ځواب ګټور نسخه وايي کوم ګیټوې، ځکه مجازي خصوصي ګیټوې او ټرانزیټ ګیټوې د بېلو نښلېدنې شیانو سره بېل ترتیبات دي، او هغه بیاکتونکی چې غلط ترتیب فرض کوي، پاتې ارزونه پر هغه ډیاګرام جوړوي چې شتون نه لري۔ لاندې درې څېړنې په ترتیب سره وکړئ۔ هر یو یا پوله تاییدوي یا وايي چې پخوانی ځواب د بل سرچینې په اړه و۔

له هر څه ارزولو دمخه درې پای ټکي ونوموئ

د دې لارې د کوډکولو بیاکتنې ته درې نومول شوي شیان ته اړتیا ده: د پیرودونکي ګیټوې، هغه AWS VPN هدف چې IPsec پای ته رسوي، او د اپلیکیشن پای ټکی چې داخلي بسته ترلاسه کوي۔ له یوې کنسول پاڼې پرانیستلو دمخه یې د خپلو سرچینې پېژندونکو سره ولیکئ، ځکه له دې ټکي وروسته هر څه د هغو دریو له یوې په اړه خبره ده۔

د پیرودونکي ګیټوې ستاسو ده او د هغې ترتیب تاسو ته ښکاري۔ AWS هدف یو مدیریت شوی سرچینه ده، او تېروتنه دا ده چې فرض یې کړو: VPN نښلېدنه کولی شي مجازي خصوصي ګیټوې یا مستقیم ټرانزیټ ګیټوې ته ونښلي، او هیڅ یو بل لازم نه کوي۔ دریم پای ټکی هغه دی چې خلک یې پرېږدي، او یوازې هماغه د اپلیکیشن معلوماتو په اړه ریښتینې پوښتنې ځواب ورکوي۔

څېړنه 1: په رښتیا کوم ګیټوې تونل پای ته رسوي

دواړه ترتیبات ملاتړ شوي او د Site-to-Site VPN معماري لارښود دواړه یو تر بل څنګ تشریح کوي، نو له یو کال زوړ ډیاګرام پرځای API وپوښتئ۔ په یوه نښلېدنه باندې یوازې لوستلو پوښتنه د VPN هدف ساحې بیرته راولي:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

توپیروونکی TransitGatewayId دی، نه VpnGatewayId۔ هغه نښلېدنه چې TransitGatewayId پکې تش دی په خپلواکه مجازي خصوصي ګیټوې پای ته رسېږي، خو هغه نښلېدنه چې دا ساحه پکې ټاکل شوې ده د ټرانزیټ ګیټوې VPN نښلېدنې ته رسېږي، او په دې حالت کې VpnGatewayId لا هم ډک کېدای شي ځکه کولی شي د نښلېدنې ملاتړ کوونکې ګیټوې ونوموي۔ لومړی د TGW ساحه ولولئ، بیا د نښلېدنې ډول له ساحې نوم نه، بلکې له نښلېدنو لیست څخه تایید کړئ، ځکه په هغې ټرانزیټ ګیټوې باندې VPC نښلېدنه VPN نښلېدنه نه ده۔ په نښلول شوي VPC کې د موخې انسټنس موندل د دې په اړه هیڅ نه وايي چې کومې VPN نښلېدنې بسته وړې ده۔

هلته اوسئ، تونلونه هم وګورئ۔ نښلېدنه د زیاتوالي لپاره دوه IPsec تونلونه وړي، او هغه نښلېدنه چې دویم تونل یې هیڅکله نه دی پورته شوی، د لاسرسي لپاره ریښتینی موندنه ده، که څه هم د کوډکولو په پوله کې څه نه بدلوي:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

څېړنه 2: داخلي بسته لا څه وړي

کله چې IPsec پای ته ورسېد، AWS د کپسول څخه ایستل شوې بسته د هغې لارې له مخې لیږدوي چې ورسره سمه وه۔ له دې ټکي وروسته ترافیک عادي VPC ترافیک دی، او د VPN ساتنه پای ته رسېدلې ده۔ دا په خدمت کې تشه نه ده؛ دا د پولې مانا ده، او د چک لیست ټکی دا دی چې په روښانه ډول یې ووایو، نه دا چې "VPN کوډ شوی دی" د "معلومات له سره تر پایه کوډ شوي دي" پرځای ودرېږي۔

اوس وګورئ چې دننه څه وو۔ که داخلي بسته د ساده متن اپلیکیشن پروتوکول وي، تر هغه چې بل څه یې کوډ نه کړي، لاندې هیڅ څیز پټوالی نه زیاتوي۔ که داخلي بسته لا دمخه TLS غونډه وړي، د باندني IPsec لرې کول په هغې غونډه کې څه نه بدلوي: هغه خپل پای ټکي ته ساتل شوې پاتې کېږي، هر چېرې چې هغه پای ټکی وي۔

عامه زیاته سمونه دا ده چې نتیجه واخلو چې د ګیټوې شاته هر څه ښکاره دي۔ داسې نه ده۔ د خدمت لېږد، د ذخیرې کوډکول او د اپلیکیشن TLS بېل میتودونه دي په بېلو شرایطو، او هر یو باید په خپلو شرایطو وارزول شي، نه د VPN له بڼې څخه وګڼل شي۔ هغه د بهیر لاګ ثبت چې ACCEPT ښیي ثابتوي چې لارښونه کار کړی او د پټوالي په اړه څه نه وايي، او دا هغه تېروتنه ده چې دا چک لیست د هغې د مخنیوي لپاره دی۔

څېړنه 3: د ګیټوې شاته TLS څه پای ته رسوي

د پتې نه، بلکې د اورېدونکي پلوی وکړئ۔ که د بار برابرونکی یا پروکسي TLS پای ته رسوي، هغه نښلېدنه چې ستاسو پیرودونکی یې لري هلته پای ته رسېږي، او پروکسي بیک اینډ ته دویمه نښلېدنه پرانیزي چې کېدای شي ساده متن یا بل باور زنځیر لرونکی TLS وي۔ شخصي IP پته او سمه لار د هغې دویمې نښلېدنې لپاره ثبوت نه دی۔

هغه پای ټکی چې واقعاً تاسو ته مهم دی د VPC له دننه ازموئ، د هغه نوم سره چې اپلیکیشن کاروي، نه د هغې IP سره چې یو ځل مو حل کړې:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

دا د هر هغه ټوپ لپاره تکرار کړئ چې غوښتنه پرې تېره شي۔ که ځواب د پیرودونکي خواته نوم او د بیک اینډ نوم ترمنځ توپیر ولري، تاسو هغه برخه وموندله چې VPN هیڅکله نه ده پوښلې، او دا هغه موندنه ده چې باید ولیکل شي۔

پایله د پرېکړې په توګه نه، بلکې د برخو په توګه ثبت کړئ

د دې چک لیست پایله یوه کوچنۍ جدول ده چې هرې برخې لپاره یوه کرښه لري: د پیرودونکي ګیټوې څخه AWS VPN هدف ته، ګیټوې څخه کاري بار ته، کاري بار څخه د معلوماتو ذخیرې ته، او په منځ کې هر پروکسي ټوپ۔ هر قطار وايي چې څه یې ساتي او هغه ساتنه په څه تکیه ده۔ له میتود او پای ټکي پرته "کوډ شوی" قطار نه دی۔

بیا د اصلي اړتیا ځواب په هغو کلمو ورکړئ چې پوښتنه پکې شوې وه۔ که اړتیا دا وي چې معلومات تر هغه پټ پاتې شي چې کاري بار یې ترلاسه کړي، VPN یوازې لومړۍ برخه پوره کوي، او پاتې کرښې د اپلیکیشن لېږد، د خدمت TLS یا د ذخیرې کوډکولو ته اړتیا لري چې جلا تنظیم او تایید شي۔

د نښلېدنې پېژندونکي، د تونلونو حالت او د سندونو موضوعات په ثبت کې وساتئ۔ کله چې څوک شپږ میاشتې وروسته ډیزاین ته راستون شي، هغه درې اثرونه په دقیقو کې د پولې پوښتنې ځواب ورکوي، نه دا چې له ډیاګرام څخه بحث بیا پیل کړي۔