එක් AWS Client VPN සැසියක පිටුපස LAN: කුමක් ඉදිරියට යවනු ලබයිද

ලැප්ටොප් පරිගණකය AWS Client VPN අන්ත ලක්ෂ්‍යයට සම්බන්ධ වී, පුද්ගලික උපජාලයට ළඟා වන අතර, සියල්ල සෞඛ්‍ය සම්පන්න ලෙස පෙනේ. එම LAN එකේම ඇති ඩෙස්ක්ටොප් පරිගණකය කිසිවකට ළඟා නොවේ, Linux සත්කාරකයටද පාලම් අතුරුමුහුණතක් ඇති අතර යන්ත්‍ර දෙකම එකම කේබලයේ තිබියදී. උමඟ තුළ කිසිවක් වැරදි ලෙස වින්‍යාස කර නැත; නැති වූ කොටස මාර්ගකරණයයි, පාලම අනුමාන සලකුණකි.

Client VPN සැසියක් LAN වෙත දිගු කිරීම ද්වාර භූමිකාවකි. එය කළමනාකරණ සේවාවකට දිගු කළ Ethernet කොටසක් නොවේ.

සත්කාරකය ක්‍රියා කරයි, LAN නොකරයි

Linux යන්ත්‍රයේ උමඟ අතුරුමුහුණතට Client VPN සේවාලාභී CIDR තුළ ලිපිනයක් ඇත, සහ අන්ත ලක්ෂ්‍යය VPC පරාස සඳහා මාර්ග තල්ලු කර ඇත. එම යන්ත්‍රයේ කරන ඉල්ලීම ස්ථානීයව ජනනය වූ ගමනාගමනයකි: එය මාර්ගයක් තෝරා, උමඟ හරහා පිටවී, පිළිතුරක් ලබයි. එම මාර්ගය කිසිදා ඉදිරියට යැවීමේ කේතය, LAN අතුරුමුහුණත හෝ සංක්‍රමණය පාලනය කරන ඕනෑම ගිනිපවුරු නියමයක් ස්පර්ශ නොකරයි.

වෙනත් LAN උපාංගයකින් එන ගමනාගමනය වෙනස් ප්‍රවාහයකි. එය LAN අතුරුමුහුණතට පැමිණේ, උමඟ දෙසට යොමු වන මාර්ගයක් අවශ්‍යය, ඉදිරියට යැවීම සක්‍රීයව තිබිය යුතුය, එයට අවසර දෙන ගිනිපවුරක් අවශ්‍යය, සහ පිළිතුර එම සත්කාරකය හරහාම ආපසු එිය යුතුය. කොන්දේසි හතරක්, සහ ක්‍රියාත්මක වන ලැප්ටොප් පරීක්ෂණය ඉන් එකක්වත් ඔප්පු නොකරයි. ඩෙස්ක්ටොප් පරිගණකයෙන් අසාර්ථකත්වය අමුතුය: උමඟ සක්‍රීයයි, අක්තපත්‍ර වලංගුය, ගමනාන්තය කිසිදා පිළිතුරු නොදෙයි. දෝෂය ද්වාරයේ ඉදිරියට යැවීමේ මාර්ගයේ ස්ථානීයය, සේවාවේ නොවේ.

සෑම සේවාලාභියෙකුටම ද්වාරයක් විය නොහැක

AWS පවසන්නේ තම Client VPN ඩෙස්ක්ටොප් යෙදුම IP ඉදිරියට යැවීමට සහාය නොදක්වන බවත්, වෙනත් සේවාලාභීන්ට හැකි බවත්ය. එම සීමාව ඕනෑම විධානයක් ටයිප් කිරීමට පෙර වාස්තුවිද්‍යාව තීරණය කරයි. ඇති එකම සේවාලාභියා නිල ඩෙස්ක්ටොප් යෙදුම නම්, LAN සඳහා ඉදිරියට යවන Linux ද්වාරය ඔබට නිම කළ හැකි වින්‍යාසයක් නොවේ, සහ කොපමණ masquerading කළත් එය වෙනස් නොවේ.

ආදේශක සේවාලාභියා අන්ත ලක්ෂ්‍යයේ සත්‍යාපන ක්‍රමයට සහ ඔබ බලාත්මක කිරීමට අදහස් කරන ප්‍රතිපත්තියටද ගැළපිය යුතුය. සහතික පදනම්, නාමාවලි පදනම් සහ SAML පදනම් අන්ත ලක්ෂ්‍ය එකම සේවාලාභී වින්‍යාස පිළිගන්නේ නැත, සහ සත්‍යාපනය කරන නමුත් තල්ලු කළ මාර්ග නොසලකා හරින තෙවන පාර්ශ්ව සේවාලාභියා දියුණුවක් නොවේ.

සේවාලාභී තේරීම නිර්මාණ සමාලෝචනයේ කොටසක් ලෙස සලකන්න. එය LAN ඉදිරියට යැවීමේ රටාව කිසිසේත් ලබා ගත හැකිද, සහ ද්වාරය පිටුපස ඇති සෑම උපාංගයකටම අන්ත ලක්ෂ්‍යය දකින අනන්‍යතාවය කුමක්ද යන්න තීරණය කරයි. සේවාලාභියා සහ එය පරීක්ෂා කළ අන්ත ලක්ෂ්‍ය වින්‍යාසය සටහන් කරන්න. මාස හයකට පසු සේවාලාභී මාරුවක් නිර්මාණය උපකල්පනය කළ හැකියාව නිශ්ශබ්දව ඉවත් කළ හැකිය.

LAN එක උමඟට හරවා පරිවර්තනය කරන්න

සහාය දක්වන සේවාලාභියෙකු සිටින විට ඉතිරිය සාමාන්‍ය ද්වාර කටයුත්තකි. LAN උපාංගවලට VPC පරාසය සඳහා Linux සත්කාරකය දෙසට යොමු වන මාර්ගයක් අවශ්‍යය, සත්කාරකයට ඉදිරියට යැවීම සක්‍රීයව අවශ්‍යය. VPC එකට ගමනාගමනය අත්‍යවශ්‍ය LAN ලිපිනයක් ලෙස නොව සම්බන්ධිත සේවාලාභියා ලෙස දැකීමට අවශ්‍ය නම්, පිටවීමේදී මූලාශ්‍රය පරිවර්තනය කරන්න.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

නියමය ඉහත පරිදි උමඟ අතුරුමුහුණතට සහ VPC පරාසයට සීමා කරන්න, සත්කාරකය ඉදිරියට යවන සියල්ල masquerade කිරීම වෙනුවට. පටු නියමය ගැන සිතීම පහසුය, සහ එය තම මුල් මූලාශ්‍ර ලිපිනය රඳවා ගත යුතු ගමනාගමනය නිශ්ශබ්දව වෙනස් නොකරයි.

හැකි නම් LAN මාර්ගය ස්වයංක්‍රීයව එන්න දෙන්න: DHCP විකල්පයක්, රවුටර නිවේදනයක්, හෝ LAN කළමනාකරණය කරන දෙයක් තල්ලු කරන ස්ථිතික මාර්ගයක්. එක් පරීක්ෂණ යන්ත්‍රයක පමණක් පවතින මාර්ගයක්, වෙනත් කෙනෙකු එය උත්සාහ කරන මොහොතේ නිර්මාණය කැඩුණු ලෙස පෙන්වයි.

පිළිතුරටද මාර්ගයක් අවශ්‍යයි

ඉල්ලීම VPC වෙත ළඟා වූ පසු, පිළිතුර එම පරිවර්තන තත්ත්ව හරහා ආපසු ඇවිත් ද්වාරයේ LAN මාර්ගය සොයා ගත යුතුය. එම කොටස සාමාන්‍යයෙන් masquerade නියමය ඇති විට ක්‍රියා කරයි, මන්ද සිතියම එය කළ සත්කාරකයේ ජීවත් වේ. VPC පැත්තේ පිළිතුර වෙනත් තැනකට යවන මාර්ගයක් ඇති විට එය කැඩේ, එබැවින්ම සේවාලාභී CIDR මාර්ගය සහ අන්ත ලක්ෂ්‍යයේ උපජාල සම්බන්ධය දෙකම වැදගත් වේ.

ping පමණක් නොව, ගණකයන් දෙස බලන්න. ශුන්‍ය පැකට් සහිත masquerade නියමය ඔබට කියන්නේ ඉල්ලීම කිසිදා උමඟ අතුරුමුහුණතට ළඟා නොවූ බවයි, එය LAN මාර්ගය හෝ සේවාලාභියාගේම මාර්ගකරණ වගුව දෙසට යොමු කරයි. පැකට් ඇති නමුත් පිළිතුරු නැති නියමය VPC පැත්ත, අවසර නියම, හෝ පරිවර්තිත මූලාශ්‍රය පිළිගන්නා නොවන ආරක්ෂක කණ්ඩායමක් දෙසට යොමු කරයි. යමක් වෙනස් කිරීමට පෙර දිශා දෙකම කියවන්න, මන්ද එක් පැත්තක පමණක් වර්ධනය වන ගණන මන්දගාමී මාර්ගයක් නොව එක්-මාර්ග මාර්ගයකි.

අන්ත ලක්ෂ්‍යය කළමනාකරණ සේවාවක් බව මතක තබා ගන්න. සංස්කරණය කිරීමට සේවාදායක වින්‍යාස ගොනුවක් නැත, එකතු කිරීමට client-config උපදෙසක් නැත, එබැවින් අභිරුචි සේවාලාභී උපජාල මාර්ග සහිත ස්වයං-කළමනාකරණ OpenVPN සේවාදායකයක් සඳහා ලියා ඇති උපදෙස් මාරු නොවේ. AWS හි ලීවර වන්නේ උපජාල සම්බන්ධය, අවසර නියම සහ VPC මාර්ගකරණ වගු ය.

හවුල් අනන්‍යතාවය යනු ප්‍රතිපත්තිය පිළිතුරු දිය යුතු කොටසයි

ද්වාරය පිටුපස ඇති සෑම උපාංගයක්ම ද්වාරයේ VPN සැසිය භාවිත කරයි. අන්ත ලක්ෂ්‍යයේ අවසර නියම පරිශීලකයෙකුට හෝ කණ්ඩායමකට ප්‍රවේශය ලබා දෙයි, සහ සේවාවේ දෘෂ්ටිකෝණයෙන් එම සැසියේ හරියටම එක් පරිශීලකයෙක් සිටී. ස්ථානීය ඉදිරියට යැවීම එම අනන්‍යතාවය උපාංගයකට ප්‍රමාණවත් සත්‍යාපනයක් ලෙස ගුණ නොකරයි, සහ කොනේ ඇති මුද්‍රණ යන්ත්‍රය දක්වා උපාංග තත්ත්ව පරීක්ෂණ නොවිහිදයි.

එය පිළිගත හැකි විය හැකිය, නැතහොත් නිර්මාණය ප්‍රතික්ෂේප වීමට හේතුව විය හැකිය. එය VPC සම්පත් අමතන්නේ කවුරුන්ද යන්න ගැන උපකල්පනය කරන දෙය මත රඳා පවතී. අවසර ආකෘතියට ගැළපෙන හවුල් අනන්‍යතාවයක් හොඳයි; තනි සත්‍යාපිත සැසියක් නිශ්ශබ්දව සම්පූර්ණ LAN ප්‍රවේශයක් බවට හරවන එකක් ලිවීමට බලා සිටින සොයා ගැනීමකි.

අවශ්‍යතාවය සැබවින්ම සම්පූර්ණ අඩවියක් VPC එකකට සම්බන්ධ කිරීම නම්, දුරස්ථ ප්‍රවේශ සේවාලාභියා දිගු කිරීමට පෙර සහාය දක්වන අඩවි-සිට-අඩවි නිර්මාණයක් සසඳන්න. අර්ථය වෙනස්ය, සහ VPC එකට LAN වෙත සම්බන්ධතා ආරම්භ කිරීමට අවශ්‍ය විට NAT කළ සේවාලාභී සැසියක් අඩවි සබැඳිය සඳහා දුර්වල ආදේශකයකි.

සේවාලාභියා, මාර්ගය, පරිවර්තනය සහ අනන්‍යතා කතාව එම අනුපිළිවෙලින් තීරණය කරන්න. එකින් එක ඊළඟට සීමා කරයි, සහ අනුපිළිවෙල සත්කාරකය ක්‍රියා කරන නමුත් LAN නොකරන බව පැහැදිලි කරයි.