peered VPC වෙත ළඟා වීමට AWS Client VPN හෝ bastion
මාර්ග දෙකම ක්‍රියා කරයි, නමුත් වෙනස් තැන්වල කැඩේ. endpoint මාර්ග, ප්‍රතිලාභ රවුටින් සහ bastion අවංක මායිම වන අවස්ථා තුන සසඳන්න.
එක් Client VPN endpoint එකකට එහි සම්බන්ධිත VPC සමඟ peered වන VPC එකකට ළඟා විය හැක, එය නීත්‍යානුකූල කිරීමට ඔබට bastion අවශ්‍ය නැත. කිරීමට වටිනා තේරීම වන්නේ ට්‍රැෆික් අත් මාරු වන තැනයි: association උපජාලයට ගොඩබසින සහ peering සම්බන්ධතාවය හරහා යන endpoint මාර්ගය, නැතහොත් peered VPC තුළ session එක අවසන් කරන host එකක්. මාර්ග දෙකම ක්‍රියා කරන අතර ඒවා වෙනස් තැන්වල අසාර්ථක වේ, එබැවින් තීරණය හිමිකාරිත්වය සහ විගණනය පිළිබඳයි, AWS අවසර දෙන දේ පිළිබඳව නොවේ. ඒවා අතර මා තෝරා ගන්නා ආකාරය සහ routed මාර්ගය ක්‍රියාත්මක කරන සටහන් හතර මෙන්න.
මාර්ග දෙකක්, endpoint එකක්, වෙනස් හිමිකරුවන්
routed මාර්ගයේදී සේවාලාභී ට්‍රැෆික් endpoint එකට ළඟා වේ, association උපජාලයේ Client VPN ජාල අතුරුමුහුණතේ ලිපිනයට පරිවර්තනය වේ, සහ A සිට B දක්වා peering සම්බන්ධතාවය හරහා එම උපජාලය හැර යයි. VPC B කිසිදු VPN session එකක් අවසන් නොකරයි; එය VPC A වෙතින් සාමාන්‍ය ට්‍රැෆික් දකී, එබැවින් එහි ප්‍රතිලාභ මාර්ගය සේවාලාභී සංචිතයට නොව VPC A වෙත යොමු වේ.
bastion මාර්ගයේදී සේවාලාභියා මුලින්ම host එකකට ළඟා වේ. A හි bastion අවසන් පිම්ම තවමත් peering සම්බන්ධතාවය හරහා යාමට ඉඩ දෙයි, එබැවින් peering කාර්යය රැඳී session එකක් එකතු වේ. B හි bastion ද සේවාලාභියාගෙන් මාර්ගයක් අවශ්‍ය වේ, එම මාර්ගය එම endpoint මාර්ගයම නම්, routed සැලසුමට තවත් පිම්මක් එකතු වේ. bastion කාර්යය අඩු කරන්නේ එය දැනටමත් පවතින විට, දැනටමත් අනුමත වූ විට, සහ එහි පිටුපස ඇති දෙයට ජාල මායිමක් නොව session මායිමක් අවශ්‍ය වන විටය.
සටහන් හතරක් routed මාර්ගය ක්‍රියාත්මක කරයි
AWS මෙම තත්ත්වය Client VPN how-it-works පිටුවේ ලේඛනගත කරයි, සහ ප්‍රායෝගිකව එය කණ්ඩායම් දෙකක් හෝ තුනක් සතු සටහන් හතරකට එයි. පරාස උදාහරණ සඳහා ය; peered පරාසය අද්විතීය විය යුතු අතර ප්‍රතිලාභ පරාසය ඔබේ සැලැස්මට ගැළපිය යුතුය.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
මාර්ගය සහ අවසරය වෙනස් පාලන වේ. ගැළපෙන අවසර නියමයක් නොමැති නිවැරදි endpoint මාර්ගය සේවාලාභියාට කිසිවක් නොදෙයි; endpoint එකට routed කළ නොහැකි ගමනාන්තයක් සඳහා අවසර නියමය ඔහුට කළු වළක් දෙයි. දෙකම එකම පරාසය නම් කළ යුතුය.
endpoint මාර්ගය endpoint එකේම VPC තුළ ඇති උපජාලයකට යොමු වේ, කිසිවිටෙක peering සම්බන්ධතාවයට නොවේ. VPC මාර්ග වගු peering සම්බන්ධතාවයට යොමු වේ, කිසිවිටෙක instance එකකට හෝ අතුරුමුහුණතකට නොවේ. දෙක අතර අගයක් පිටපත් කිරීම පැමිණිල්ලකින් තොරව සුරැකේ සහ කිසිවක් routed නොකරයි.
association උපජාලය සේවාලාභී මූලාශ්‍රය පරිවර්තනය කරන බැවින්, B සේවාලාභී සංචිතයට නොව VPC A වෙත ආපසු routed කළ යුතුය. peering සම්බන්ධතාවය හරහා සේවාලාභී පරාසය යැවීම සමමිතික ලෙස පෙනේ, සමාලෝචනය පසු කරයි සහ නිශ්ශබ්දව අසාර්ථක වේ, මන්ද B කිසිවිටෙක සේවාලාභී මූලාශ්‍රයක් සහිත පැකට්ටුවක් නොදකී.
ආරක්ෂක කණ්ඩායම් සහ අවසරයේ අවසන් මීටරය
රවුටින් පැකට් B වෙත ගෙන එයි; තීරණය B තවමත් ගනී. එකම කලාපයේ සක්‍රීය peering සම්බන්ධතාවයක් සඳහා, B හි ආරක්ෂක කණ්ඩායමකට Client VPN association එකට යොදන ලද කණ්ඩායම වෙත යොමු විය හැක, එය නියමය පටුව තබා ලිපින වෙනස්කම්වලට ඔරොත්තු දෙයි. කණ්ඩායම් යොමුවක් කළ නොහැකි තැන, 0.0.0.0/0 දක්වා පුළුල් කරනවාට වඩා association උපජාල පරාසය පැහැදිලිව අවසර දෙන්න, මන්ද එය රවුටින් දෝෂයක් පැහැදිලි කිරීමක් නොමැති timeout එකක් බවට පත් කරයි.
ඉන්පසු රවුටින් කිසිවිටෙක ස්පර්ශ නොකරන දේ පරීක්ෂා කරන්න: උපජාල දෙකේම ජාල ACL, යෙදුමේ allow-list හෝ token ප්‍රේක්ෂකයා, සහ DNS. peering පෞද්ගලික සත්කාරක කලාප පිටපත් නොකරයි, එබැවින් ලැප්ටොප් එකට විසඳිය නොහැකි ලිපිනයකට ක්‍රියාකාරී මාර්ගයක් තබා ගත හැක, සහ peering සම්බන්ධතාවය සහතිකයකට විශ්වාසයක් එකතු නොකරයි. endpoint එක B සඳහා පිළිතුරු දෙන resolver එකකට යොමු කරන්න, ඉන්පසු පෞද්ගලික නම සහ සහතිකය ගැළපෙන බව තහවුරු කරන්න.
bastion අවංක පිළිතුර වන විට
මම හිතාමතා bastion තේරීම සඳහා ක්‍රියාකාරක තුනක් තබා ගනිමි. peered VPC ඔබේ පරාසය සඳහා ප්‍රතිලාභ මාර්ගයක් නොඑකතු කරන හෝ කණ්ඩායම් යොමුවක් පිළිනොගන්නා කණ්ඩායමකට අයත් වේ. ප්‍රවේශය සෑම session එකකටම අනුමත හෝ සටහන් කළ යුතු අතර යෙදුමට එය තනිව දරාගත නොහැක. නැතහොත් අවසන් පිම්ම B තුළම රැඳිය යුතුය, මන්ද සේවාව එහි පමණක් විසඳෙන අතර එහි TLS අනන්‍යතාවය අභ්‍යන්තර නමකට පින් කර ඇත.
මේ කිසිවක් peering සංක්‍රාමක නොවන බවට වටහා යාමක් නොවේ. අසංක්‍රාමකත්වය B හි සම්පත් කළ හැකි දේ සීමා කරයි: A සමඟ peered වන තුන්වන VPC එකකට A ට්‍රාන්සිට් ලෙස භාවිත කළ නොහැක. එය කිසිවිටෙක VPN පරිශීලකයාට සෘජුවම peered VPC එකකට ළඟා විය නොහැකි බව අදහස් නොකළේය, සහ එම වැරදි කියවීම මඟ හැරීමට ගොඩනගන ලද bastion එකක් හේතුවක් නොමැතිව patch කළ යුතු host එකකි.
ප්‍රතිවිරුද්ධ දෝෂය කාලයත් සමඟ වඩා මිල අධිකය: සෑම කණ්ඩායමක්ම දැනටමත් පවතින එකම bastion හරහා යවන්න, ඉන්පසු එහි ආරක්ෂක කණ්ඩායම, මාර්ග වගුව සහ patch කවුළුව නිෂ්පාදන යැපීම බව සොයා ගන්න. host එක කුමන ක්‍රියාකාරකයට සේවය කරන්නේද ලියන්න, සහ ක්‍රියාකාරකය ගිය විට එය විශ්‍රාම ගන්වන්න.
Transit Gateway සහ association කිහිපයක් ගණනය වෙනස් කරයි
endpoint එක උපජාලයකට වඩා සෘජුවම Transit Gateway එකකට සම්බන්ධ නම්, ආකෘතිය වෙනස් වේ: සේවාලාභීන් තවදුරටත් association උපජාලයේ අතුරුමුහුණත් ලිපිනයට පරිවර්තනය නොවේ, සහ gateway මාර්ග වගු සේවාලාභී පරාසය සහ peered VPC වෙත ගෙන යන සම්බන්ධකය දෙකම දරාගත යුතුය. එය පරිමාණයෙන් පිරිසිදු ය, නමුත් කාර්යය සටහන් හතරකින් gateway මාර්ග වගු වෙත මාරු වේ.
association කිහිපයක් පරීක්ෂණ ගුණ කරයි. endpoint මාර්ගය endpoint එකට අයත් ය, නමුත් සෑම association උපජාලයකටම සැබෑ peering ඊළඟ පිම්මක් සහිත මාර්ග වගුවක් අවශ්‍ය වේ. session එකක් එක් association එකකින් සාර්ථක විය හැකි අතර අනෙකට ප්‍රතිලාභ මාර්ගයක් නොමැති විය හැක, එබැවින් එක් එක් පරීක්ෂා කරන්න.
කැඩීම ඉක්මනින් සොයා ගන්නා සත්‍යාපන අනුපිළිවෙල
මේවා අනුපිළිවෙලින් ධාවනය කරන්න; සෑම පියවරක්ම ඊළඟ පියවර අසාර්ථක වන අතරතුර සාර්ථක විය හැක, සහ සේවාලාභී timeout එකක් කුමක් කැඩුණේද යන්න පාහේ කිසිවිටෙක නොකියයි.
- සේවාලාභියාගෙන් යෙදුමේ නම විසඳා ලිපිනය peered පරාසය තුළ ඇති බව පරීක්ෂා කරන්න.
- සම්බන්ධ වන්න, ඉන්පසු session එක අවසන් කළ association එක සඳහා endpoint සම්බන්ධතා ලොගය කියවන්න.
- එම association උපජාලයේ, මාර්ග වගුව peered පරාසය සක්‍රීය peering සම්බන්ධතාවයකට යොමු කරන බව තහවුරු කරන්න.
- B හි සම්පත් උපජාලයේ, අතුරුමුහුණත් පරාසය සඳහා ප්‍රතිලාභ සටහන සහ ගැළපෙන කණ්ඩායම් නියම තහවුරු කරන්න.
- එක් අවසර ලත් මෙහෙයුමක් සහ ළඟා විය නොහැකිව තිබිය යුතු එක් සම්පතක් පරීක්ෂා කරන්න; දෙවැන්න නිදොස්කරණ අවශේෂ අල්ලා ගනී.
- කිසිදු split-tunnel මාර්ග වෙනසකට පසු නැවත සම්බන්ධ වන්න, මන්ද ධාවනය වන ටනලයක් නව මාර්ග කට්ටලයක් නොගනී.
මතක තබා ගැනීමට වටිනා රෝග ලක්ෂණ දෙකක් ඇත. පිළිතුරක් නොමැතිව B වෙත ළඟා වන SYN එකක් පාහේ සැමවිටම අස්ථානගත ප්‍රතිලාභ මාර්ගයයි. සම්පූර්ණ වී පසුව නැවත සකසන සම්බන්ධතාවය සාමාන්‍යයෙන් කණ්ඩායම, ACL හෝ යෙදුමයි. දෙකම endpoint ලොගයේ හේතුවක් ලෙස නොපෙනේ, එබැවින් සටහන් හතර එක් එක් අසල හිමිකරු සමඟ තබා ගන්න.
ක්‍රියාකාරක තුනෙන් කිසිවක් අදාළ නොවේ නම්, routed මාර්ගය අවසන් කර එම සටහන් හතර සටහන් කරන්න. එකක් අදාළ නම්, bastion එක එම මායිම සඳහා පමණක් තබා ගන්න සහ ඉදිරිපිට session එකක් අවශ්‍ය නොවන සේවා සඳහා endpoint මාර්ගය තබන්න.