ولې AWS Client VPN ترافیک پرته له سمې لارې غورځوي

Client VPN مراجع ته یوه پته ورکوي، لاس ورکول بشپړیږي، او اړیکه بیا هم هیچیرې نه رسیږي. د سندونو یا مراجع نسخو ته د لاس وهلو دمخه د پای ټکي خپل د لارو جدول ته وګورئ. د AWS Client VPN پای ټکی یوازې هغه وخت کڅوړه لیږدوي چې د هغې یوه لاره د منزل مخکښه پوښي؛ که هېڅ شی سم نه وي، کڅوړه د پای ټکي په سر غورځول کیږي او هدف کوربه هیڅکله SYN نه ویني.

دا د لیږد پرېکړه ده، نه د تصدیق پرېکړه. دا هغه وخت کیږي چې تونل پورته شو او د اجازې قواعد وارزول شول، له همدې امله سم سند او سم ګروپ بیا هم مړه اړیکه جوړولی شي.

پای ټکی یوازې هغه څه لیږدوي چې د هغې د لارو جدول یې پوښي

هره لار د منزل CIDR او هغه فرعي شبکه ده چې باید ترافیک ترلاسه کړي. پای ټکی د مراجع منزل له هغې لیست سره پرتله کوي، سمه ننوتنه ټاکي او کڅوړه اړوندې فرعي شبکې ته لیږي. ننوتنه نه وي نو بله ټوپ هم نه وي۔

پام وکړئ چې لار څه نه ده. دا د VPC د لارو جدول ننوتنه نه ده، او هېڅ شی ته اجازه نه ورکوي. د اجازې قواعد پرېکړه کوي چې ګروپ منزل ته رسیږي که نه؛ لارې پرېکړه کوي چې پای ټکی کڅوړه لیږلو لپاره ځای لري که نه. دواړه باید سم وي، او دوی په بېلو نښو سره ناکام کیږي، نو دا اټکل چې کوم یو مات دی یوه ماسپښین ضایع کوي.

کلاسیکه ناسمه اړیکه یو پیر شوی VPC دی. یو څوک د 10.20.0.0/24 لپاره لار ورزیاتوي پداسې حال کې چې کوربه په 10.20.4.0/24 کې اوسیږي، نو پته له هرې ننوتنې بهر کیږي. د مراجع خوا کې نیول بیا بیا SYN پرته له ځواب ښیي، او د هدف لاګونه هېڅ شی نه ښیي.

د سند دمخه د لارو لیست ولولئ

د پای ټکي لارې خپل جلا شی دی، نو د VPC جدول لوستلو پرځای هغوی مستقیم وپوښتئ:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 --query 'Routes[].{Dest:DestinationCidr,Target:TargetSubnet,Origin:Origin}'

له ناکام مراجع څخه دقیقه پته او د مخکښې اوږدوالی واخلئ، بیا پوښښ توري په توري وګورئ. تر ټولو اوږده مخکښه سمون عملي کیږي، نو پراخه لار تاسو نه ژغوري کله چې تنګه لار بل ځای ته اشاره وکړي.

د for_each سره د هر منزل لپاره یو سرچینه

په لاس لیکل شوې د لارو بلاکونه هغه شیبه ښویږي چې یو څوک په کنسول کې مخکښه ورزیاتوي. منزلونه په نقشه کې وساتئ او د هر کیلي لپاره یوه سرچینه جوړه کړئ، ترڅو هر زیاتول یا لرې کول جلا پاتې شي.

variable "client_vpn_routes" {
  type = map(string)
  default = {
    "10.20.0.0/16"  = "subnet-0aa11bb22cc33dd44"
    "172.31.0.0/20" = "subnet-0aa11bb22cc33dd44"
  }
}

resource "aws_ec2_client_vpn_route" "this" {
  for_each               = var.client_vpn_routes
  client_vpn_endpoint_id = var.client_vpn_endpoint_id
  destination_cidr_block = each.key
  target_vpc_subnet_id   = each.value
  depends_on             = [aws_ec2_client_vpn_network_association.this]
}

د شبکې تړاو ته تکیه وساتئ. لار ته تړل شوې فرعي شبکه غواړي، نو دواړه جوړونکی apply باید لومړی تړاو ترتیب کړي، او پرته له دې حوالې Terraform ازاد دی چې لومړی لار هڅه وکړي. بیا پلان ولولئ: د لارو زیاتولو شمېره باید ستاسو د زیاتو شوو مخکښو سره سمه وي. که پلان پای ټکی هم بدلوي، د پای ټکي سرچینه غلطه لیکل شوې او تطبیق یې هر نښلول شوی مراجع قطع کوي.

د هغه پای ټکي منل چې تاسو نه یې جوړ کړی

ډیری ټیمونه په کنسول کې جوړ شوی پای ټکی په میراث اخلي، له همدې امله د لارو کوډ نشته. یوازې د لارو Terraform ته راوړلو لپاره دویم پای ټکی مه جوړوئ.

پرځای یې وارد کړئ، یا ids د متغیرونو په توګه ولېږئ او میراثي شیان پرته له مدیریت پرېږدئ. واردات د هر سرچینې ډول لپاره د عرضه کوونکي مستند شوی پیژندونکی بڼه غواړي؛ هغه پای ټکی، د منزل مخکښه او هدف فرعي شبکه کوډ کوي. هغه تار د حافظې له مخې جوړولو پرځای د سرچینې مستنداتو څخه کاپي کړئ، پلان چل کړئ، او د نوي څه زیاتولو دمخه هېڅ بدلون مه تمه کوئ.

کڅوړه په هغه ترتیب تعقیب کړئ چې تګ کوي

کله چې لار شتون ولري او اړیکه بیا هم ناکامه وي، په پورتنۍ طبقه کې اټکل کولو پرځای لار په ترتیب ووهئ.

1. لار: مخکښه منزل پوښي او د پای ټکي سره تړلې فرعي شبکې ته اشاره کوي.
2. اجازه: د اجازې قاعده هغه منزل د کارونکي ګروپ لپاره اجازه ورکوي. یوازې لار هیڅکله لاسرسی نه ورکوي.
3. د بیرته راستنیدو لار: د هدف فرعي شبکې د لارو جدول ځوابونه د پای ټکي په لوري بیرته لیږي، او امنیتي ګروپ د مراجع د پتو حوض څخه پورټ اجازه ورکوي.
4. اپلیکیشن: له مراجع څخه ریښتینې TCP اړیکه پرانیزئ، بیا تایید کړئ چې د هدف لاګونه د حوض څخه تمه شوې سرچینه پته ښیي.

په هر apply کې یوه مخکښه بدله کړئ، بیا د لارو لیست بیا ولولئ، او منزل، اجازه ورکوونکې قاعده او د بیرته راستنیدو لار یوځای ولیکئ. بل څوک چې رد شوې اړیکه ډیبګ کوي باید له همدې لیست څخه پیل وکړي، نه د سندونو له تیوري څخه.