AWS Client VPN සම්බන්ධයි නමුත් අන්තර්ජාලය නැත: මාර්ග පරීක්ෂාව

AWS Client VPN සම්බන්ධයි නමුත් අන්තර්ජාල ප්‍රවේශය නැද්ද? සේවාලාභී මාර්ග, අන්ත ලක්ෂ්‍ය අනුමැතිය, උපජාලක පිටවීම සහ DNS එම අනුපිළිවෙලින් පරීක්ෂා කරන්න.

ඔබ AWS Client VPN අන්ත ලක්ෂ්‍යයට සම්බන්ධයි, පෞද්ගලික උපජාලකය පිළිතුරු දෙයි, එසේ වුවත් සෑම පොදු පිටුවක්ම කාලසීමාව ඉක්මවා අවසන් වේ. මෙම සංයෝගය ගැටලුව කළමනාකෘත පැත්තේ වස්තු තුනෙන් එකකට සීමා කරයි: සේවාලාභියා ස්ථාපනය කරන මාර්ගය, අන්ත ලක්ෂ්‍යයේ මාර්ගය එහි අනුමැති නීතිය සමඟ, නැතහොත් සම්බන්ධිත උපජාලකයේ ඊළඟ පිම්ම. සේවාලාභියාගේ පැත්තෙන් සෑම අසාර්ථකත්වයක්ම වෙනස් ලෙස පෙනෙන බැවින් මම ඒවා මෙම අනුපිළිවෙලින් පරීක්ෂා කරමි. මෙම මාර්ගෝපදේශය VPC සමඟ සම්බන්ධිත කළමනාකෘත අන්ත ලක්ෂ්‍යයට අදාළය, EC2 අවස්ථාවක OpenVPN සේවාදායකයට හෝ Cloud WAN හෝ Transit Gateway සම්බන්ධතාවයට නොවේ.

සේවාලාභියා ඇත්තටම මාර්ගගත කරන්නේ කුමක්ද යන්නෙන් පටන් ගන්න

සම්බන්ධිත තත්ත්වය TLS සැසිය සහ සේවාලාභියාට CIDR පැවරීම සනාථ කරයි, ඊට වැඩි කිසිවක් නොවේ. උමඟ සක්‍රීයව ඇති විට පොදු ලිපිනයක් කොහේ යයිදැයි මෙහෙයුම් පද්ධතියෙන් අසන්න. Linux තුළ ip route get 1.1.1.1 උමඟ අතුරුමුහුණත නම් කළ යුතුය; macOS තුළ netstat -rn -f inet | head -5 පෙරනිමි සටහන පෙන්වයි; Windows තුළ Find-NetRoute -RemoteIPAddress 1.1.1.1 තෝරාගත් අතුරුමුහුණත සහ ඊළඟ පිම්ම මුද්‍රණය කරයි.

ඉන්පසු split-tunnel ධජය කියවන්න, මන්ද අන්ත ලක්ෂ්‍යය ප්‍රකාශයට පත් කරන මාර්ග පමණක් සේවාලාභියා උමඟට යවන එකම ගමනාන්ත දැයි එය තීරණය කරයි:

aws ec2 describe-client-vpn-endpoints \
  --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 \
  --query 'ClientVpnEndpoints[0].SplitTunnel'

විට SplitTunnel true නම්, පොදු ගමනාන්තයක් උමඟ භාවිතා කරන්නේ අන්ත ලක්ෂ්‍යය එය ආවරණය කරන මාර්ගයක් ප්‍රකාශයට පත් කළ විට පමණි, එබැවින් නොමැති 0.0.0.0/0 එම රථවාහනය දේශීය අතුරුමුහුණතේ තබයි. එය false නම්, සේවාලාභියා රථවාහනය අල්ලා ගනී, නමුත් අන්ත ලක්ෂ්‍යය තවමත් එය මාර්ගගත කර අනුමත කළ යුතුය; නොඑසේ නම් පැකට් උමඟට ඇතුළු වී එහි නතර වේ. දෙකෙන් එකක් වෙනස් කළ පසු සේවාලාභියා නැවත සම්බන්ධ කරන්න, මන්ද මාර්ග සහ DNS සේවාදායක සම්බන්ධ වන විටම ලබා දෙන අතර ක්‍රියාත්මක වන සේවාලාභියාට පැරණි කට්ටලය තබා ගත හැකිය.

අන්ත ලක්ෂ්‍ය මාර්ගය සහ අනුමැති නීතිය වෙන වෙනම කියවන්න

මේවා වස්තු දෙකක් වන අතර එකක් සෑදීම අනෙක සෑදීම නොවේ. අන්ත ලක්ෂ්‍ය මාර්ග ලැයිස්තුගත කර ඉලක්කය සම්බන්ධිත උපජාලකයක් වන පෙරනිමි මාර්ගයක් සොයන්න:

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

සෑම මාර්ගයකටම හරියටම එක් ඉලක්ක උපජාලකයක් ඇත, එබැවින් සම්බන්ධතා තුනකට එක් එකකට ගැළපෙන පෙරනිමි මාර්ගයක් අවශ්‍යය. AWS මෙම ආවරණ අවශ්‍යතාවය ලේඛනගත කරයි, සහ හිඩැසක ප්‍රායෝගික රෝග ලක්ෂණය වන්නේ එක් උපජාලකයකින් වැඩ කර අනෙකකින් නතර වන පරිශීලකයාය, එය නැති වූ මාර්ගයක් ලෙස නොව කඩින් කඩ ඇති වන දෝෂයක් ලෙස කියවේ. නිල Client VPN තත්ත්ව ලේඛන මෙම මාර්ග අයත් වන පොදු උපජාලක වින්‍යාසය විස්තර කරයි.

අනුමැතිය දෙවන වස්තුවයි. පොදු ගමනාන්තය ආවරණය කරන නීතියක් නොමැති විට, උමඟ පැකට්ටුව රැගෙන යන අතර සේවාව එය ඉවත දමයි, එබැවින් පෞද්ගලික සම්පත් ක්‍රියාත්මක වන අතර අන්තර්ජාලය නොවේ:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

VPC CIDR සඳහා නීතියක් 0.0.0.0/0 ගැන කිසිවක් නොකියයි. සම්පූර්ණ උමඟක් සඳහා නැති කොටස් එකතු කිරීම යනු සෑම සම්බන්ධිත උපජාලකයකටම එක් මාර්ගයක් සහ පසුව විගණනය කළ හැකි අනුමැති නීතියක්:

aws ec2 create-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 create-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all \
  --description "internet egress for full tunnel"

--access-all සෑම සේවාලාභියෙකුටම ගමනාන්තය ලබා දෙයි, එබැවින් උමඟ සම්පූර්ණ විය යුතු තාක් පමණක් එය තබා ගන්න; සම්බන්ධ කිරීමට කණ්ඩායම් ඇත්නම් නාමාවලි කණ්ඩායමකට බැඳුණු නීතිය වඩා හොඳය.

පැකට්ටුව සම්බන්ධිත උපජාලකයෙන් පිටතට අනුගමනය කරන්න

අන්ත ලක්ෂ්‍ය මාර්ගය තීරණය කරන්නේ AWS එම පැකට්ටුව එම උපජාලකයට ලබා දෙන බවයි. එය ඉන් පසු ඊළඟ පිම්ම තීරණය නොකරයි, එය උපජාලකයේම VPC මාර්ග වගුවේ ඇත:

aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0a1b2c3d4e5f67890 \
  --query 'RouteTables[].Routes[?DestinationCidrBlock==`0.0.0.0/0`]'

භාවිතයට ගත හැකි පෙරනිමි මාර්ගයක් පොදු උපජාලකයක් සඳහා අන්තර්ජාල ද්වාරයට හෝ පෞද්ගලික එකක් සඳහා NAT ද්වාරයට යොමු කරයි, සහ blackhole තත්ත්වය යනු ඉලක්කය මකා දමා ඇති අතර මාර්ගය දැන් නිහඬව මිය යන බවයි. මේවා අන්ත ලක්ෂ්‍ය මාර්ග ලැයිස්තුවට වඩා වෙනස් වගු වන අතර එකක් අලුත්වැඩියා කිරීම අනෙක අලුත්වැඩියා නොකරයි.

මෙම පිම්මේ පෙරහන් දෙකක් ඇත. ඉලක්ක ජාල සම්බන්ධතාවයට යෙදූ ආරක්ෂක කණ්ඩායම පොදු ගමනාන්තය දෙසට පිටවන රථවාහනයට අවසර දිය යුතුය, සහ අදාළ ඕනෑම ජාල ACL එකක් ඉල්ලීමට සහ ක්ෂණික වරායවල ප්‍රත්‍යාගමන රථවාහනයට අවසර දිය යුතුය. සීමාකාරී සම්බන්ධතා ආරක්ෂක කණ්ඩායමක් පෞද්ගලික ප්‍රවේශය ක්‍රියාත්මක වී පොදු ප්‍රවේශය නොවීමට පොදු හේතුවකි.

තුනම එකවර වෙනස් කරනවාට වඩා රෝග ලක්ෂණයෙන් පළමු ස්ථරය තෝරන්න:

What you observeLayer to check first
No tunnel interface for a public IPClient route or split-tunnel flag
Tunnel interface chosen, request times outEndpoint route and authorization rule
Endpoint route present, still times outSubnet route table, association security group
Named host fails, numeric address worksDNS servers and their own authorization

DNS අසාර්ථකත්වය මිය ගිය මාර්ගයකින් වෙන් කරන්න

නාම විභේදනය යැවීමට වඩා වෙනස් ලෙස අසාර්ථක වේ, සහ සම්පූර්ණ උමඟ මෙම වෙනස වැදගත් කරයි මන්ද තල්ලු කළ විසඳන්නා වෙත දැන් උමඟ හරහා ළඟා වේ. අන්ත ලක්ෂ්‍යය VPC DNS සේවාදායක නියම කරන්නේ නම්, ඒවායේ ලිපිනවලට වෙනත් ඕනෑම ගමනාන්තයක් මෙන් මාර්ග ආවරණය සහ අනුමැතිය අවශ්‍යය. කුමන අසාර්ථකත්වයක්දැයි බැලීමට විසඳන්නාගෙන් සෘජුවම අසන්න: dig +short example.com @10.0.0.2, හෝ nslookup example.com 10.0.0.2 Windows තුළ.

සංඛ්‍යාත්මක URL එකක් පිළිතුරු දී නම් සහිත එකක් නොදෙන විට, පෙරනිමි මාර්ගය සංස්කරණය කිරීම නවත්වා DNS මත වැඩ කරන්න. IP ලිපිනයකට කරන ඉල්ලීමක් නම් සහිත අතථ්‍ය සත්කාරකයක් සහ එහි සහතිකය ගැන කිසිවක් සනාථ නොකරයි, එබැවින් අවසාන පරීක්ෂාවේ නම් සහිත පරීක්ෂණයක් තබා ගන්න.

කාලය උදව් කරයි. තත්පර කිහිපයක් තුළ පිළිතුරු නොලැබෙන TCP සම්බන්ධතාවයක් මාර්ගගත කිරීම හෝ පෙරහනක් දෙසට යොමු කරයි, නමුත් නාම සෙවුම තුළ එල්ලෙන ඉල්ලීමක් විසඳන්නා දෙසට යොමු කරයි. විසඳන්නාට ළඟා විය නොහැකි විට පෙරනිමි මාර්ගය වෙනස් කිරීම සාමාන්‍යයෙන් එක් අසාර්ථකත්වයක් දෙකක් බවට පත් කරයි.

පිරිසිදුව ආපසු හරවන්න, පසුව පිටවීමේ මාර්ගය තහවුරු කරන්න

වස්තු දෙකම එකතු කිරීමේ ස්වභාවයක් තිබුණි, එබැවින් ආපසු හැරවීම අලුත්වැඩියාවක් නොව මැකීමකි:

aws ec2 delete-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 delete-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all

නැවත සම්බන්ධ වී රථවාහනය පිටවන මාර්ගය තහවුරු කරන්න. නිරීක්ෂණය කළ පොදු ලිපිනය NAT ද්වාරයේ ප්‍රත්‍යස්ථ IP ලිපිනය සමඟ හෝ ඔබ භාවිතා කිරීමට සැලසුම් කළ අන්තර්ජාල ද්වාරය සමඟ සසඳා, පෞද්ගලික සම්පතක් එම සැසියේම තවමත් පිළිතුරු දෙන්නේදැයි පරීක්ෂා කරන්න.

කෙටි ලැයිස්තුවකින් අවසන් කර අවසාන අයිතමය ලේඛනයක් ලෙස නොව වෙනසෙහි කොටසක් ලෙස සලකන්න:

  • සෑම සම්බන්ධිත උපජාලකයකටම එක් 0.0.0.0/0 අන්ත ලක්ෂ්‍ය මාර්ගයක්.
  • ඔබ සේවය කිරීමට අවශ්‍ය සේවාලාභීන් සඳහා 0.0.0.0/0 ආවරණය කරන අනුමැති නීතියක්.
  • සෑම සම්බන්ධිත උපජාලකයකම blackhole නොවන VPC පෙරනිමි මාර්ගයක්.
  • සම්බන්ධතා ආරක්ෂක කණ්ඩායමේ පිටවීම, සමඟ ACL ප්‍රත්‍යාගමන රථවාහනය.
  • විසඳන්නාගේ ලිපින මාර්ගගත කර අනුමත කර ඇත, නම් සහිත ඉල්ලීමකින් තහවුරු කර ඇත.
  • මාර්ගය සහ නීතිය සඳහා සටහන් කළ ආපසු හැරවීම.

එක් විෂය පථ සටහනක්: මෙය IPv4 මාර්ගයකි. ද්විත්ව තීරු සේවාලාභියාට දැනටමත් ඇති IPv6 සම්බන්ධතාවය රඳවා ගනී, එබැවින් IPv6 පෙරනිමි මාර්ගය මෙහි අතුරු ප්‍රතිඵලයක් නොව, තමන්ගේම අනුමැතිය සහිත වෙනම තීරණයකි.

අදාළ ලිපි