EC2 හි strongSwan: VPC ට වැඩ පැටවීම මාර්ගගත කිරීමට ඉඩ දෙන්න

උමග සක්‍රීයයි, ද්වාර අවස්ථාවට දුරස්ථ ජාලය පිංග් කළ හැකිය, නමුත් එය අසල ඇති යෙදුම් අවස්ථාවට කිසිවක් වෙත ළඟා විය නොහැක. කිසිවක් කැඩී නැත. සාර්ථක වූ පරීක්ෂණය ආරම්භ වූයේ VPN සත්කාරකයේ ය, එම සත්කාරකයට එම IPsec සම්බන්ධතාවය හරහා වෙනත් මූලාශ්‍ර ලිපිනයක් රැගෙන යා හැකිදැයි එය කිසිදා නොඇසීය. මෙම අත්පොත එම පරතරය පියවර හතරකින් වසා දමයි, සෑම අසාර්ථකත්වයක්ම දෘශ්‍යව තබා ගන්නා අනුපිළිවෙලින්.

පළමුව ලිපින හතර ලියන්න

පහත සෑම පියවරක්ම මේවාට යොමු වේ, එබැවින් මාර්ගගත කිරීමේ වගුව ස්පර්ශ කිරීමට පෙර ඒවා ඔබේම ගිණුම සඳහා පිරවන්න.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

උදාහරණය අනුමත, ක්‍රියාකාරී ප්‍රතිපත්ති පාදක IPsec සම්බන්ධතාවයක් සහ මූලාශ්‍රය රැක ගන්නා ප්‍රවාහයක් උපකල්පනය කරයි. මෙය එක් වෙන් කළ ලිපිනයක් ණයට ගන්නා NAT සහිත දුරස්ථ ප්‍රවේශ සේවාදායකයෙක් නොවේ, එම වෙනස තේරීම්කරුවන් වෙනස් කළ යුතුද නැද්ද යන්න තීරණය කරයි.

පියවර 1: වැඩ පැටවීමේ උපජාලයට මාර්ගයක් දෙන්න

වැඩ පැටවීමේ උපජාලයට සැබවින්ම සම්බන්ධිත මාර්ගගත කිරීමේ වගුවට දුරස්ථ උපසර්ගය සඳහා ද්වාරයේ ජාල අතුරුමුහුණතට යොමු වන මාර්ගයක් අවශ්‍ය වේ. අවස්ථාව තුළ ස්ථාපිත අමුත්තා මාර්ගය එම AWS මාර්ගගත කිරීමේ වගුවේ පිවිසුමක් නොවේ, කිසිදු strongSwan වින්‍යාසයක් එය නිර්මාණය නොකරයි.

AWS හි උපාංගය හරහා මාර්ගගත කිරීමේ මාර්ගෝපදේශය ජාල අතුරුමුහුණතේ ඉලක්ක සහ යවන අවස්ථාවේ මූලාශ්‍ර/ගමනාන්ත පරීක්ෂාවේ අවශ්‍යතාවය විස්තර කරයි. එම පරීක්ෂා වෙනස ද්වාර භූමිකාවට සීමා කරන්න, සාමාන්‍ය යෙදුම් අවස්ථා නිදාගැනීමට ඉඩ දෙන්න.

එක් අනුමත ජාලයකට ඉඩ සැලසීමට VPC හි දේශීය මාර්ගය හෝ සෑම පවතින පිවිසුමක්ම ප්‍රතිස්ථාපනය නොකරන්න. කුමක් සම්බන්ධිත සහ සක්‍රීයද යන්න පරීක්ෂා කරන්න, කිසිවෙකු භාවිත නොකරන මාර්ගගත කිරීමේ වගුවක් සඳහා කොන්සෝල පිටුව පෙන්වන දෙය නොවේ. සමාන පෙනෙන වගු දෙකකට වෙනස් සම්බන්ධතා තිබිය හැක. වැදගත් වන්නේ වැඩ පැටවීමේ උපජාලය සම්බන්ධ වී ඇති වගුවයි.

පියවර 2: අමුත්තා මත යැවීම සක්‍රීය කරන්න

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

කර්නලය යැවිය යුතු අතර සත්කාරක ගිනිපවුර සංක්‍රමණයට අවසර දිය යුතුය. සියල්ල පිළිගැනීම වෙනුවට වැඩ පැටවීම සහ දුරස්ථ උපසර්ග සඳහා අපේක්ෂිත යැවීමේ නීති එකතු කරන්න, ද්වාර උපජාලය තමන්ගේම රථවාහනයට භාවිත කළ හැකි ප්‍රවාහන මාර්ගයක් රඳවා ගන්නා බව තහවුරු කරන්න.

ආරක්ෂක කණ්ඩායම් යනු මෙම පියවර සාමාන්‍යයෙන් නතර වන තැනය. මැදි උපාංගයක් සෘජු අවස්ථා සන්නිවේදනයේ ආරක්ෂක කණ්ඩායම් යොමු හැසිරීම උරුම නොකරයි, එබැවින් කළමනාකරණය කළ Client VPN උදාහරණයකින් පිටපත් කළ නීතියක් කිසිදා නොගැළපිය හැක. සැබෑ මාර්ගයේ දිශා දෙකෙන්ම ආරක්ෂක කණ්ඩායම සහ උපජාල ACL පරීක්ෂා කරන්න.

පියවර 3: තේරීම්කරුවන් සැබෑ මූලාශ්‍ර දක්වා පුළුල් කරන්න

AWS පැත්තේ 10.60.1.10/32 පමණක් ආවරණය කරන ප්‍රතිපත්තියක් 10.60.2.20 ආවරණය නොකර ද්වාරයෙන් ආරම්භ වූ සාර්ථකත්වය පැහැදිලි කරයි. දුරස්ථ ගමනාන්තය දෙසට ඇති මාර්ගය රථවාහන තේරීම්කරුවක් පුළුල් නොකරයි, එය එම විස්මයේම දෙවන අර්ධයයි.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

එකඟ වූ සැලසුම මුළු VPC ආරක්ෂා කරන්නේ නම්, දෙපැත්තම 10.60.0.0/16 සහ 10.90.0.0/24 පිළිගත යුතුය. එය එක් වැඩ පැටවීමක් ආරක්ෂා කරන්නේ නම්, එම පටු උපසර්ගය අභිප්‍රායෙන් භාවිත කරන්න. කෙසේ වුවද, ස්ථාපිත CHILD-SA ප්‍රතිපත්තිය පරීක්ෂා කරන්න, මන්ද ඔබ සංස්කරණය කළ වින්‍යාසය සහ එය වෙනත් ආකාරයකින් පටු කළ පැත්ත එකම ගිවිසුමක් නොවේ.

දුරස්ථ අඩවියද රඳවා ගත් VPC මූලාශ්‍ර සඳහා පිළිතුරු අපේක්ෂිත IPsec ද්වාරය හරහා ආපසු මාර්ගගත කළ යුතුය. වෙනත් මූලාශ්‍ර NAT නීති ඇති තැන ආරක්ෂිත රථවාහනයට ආධාරක NAT නිදහස තබා ගන්න; අනුමත නොකළ වැඩ පැටවීමක් අවසර ලත් සත්කාරක ලිපිනයකට පරිවර්තනය කිරීම වෙනත් අනන්‍යතා ගිවිසුමකි, ඔබට අවශ්‍ය වූ ප්‍රවේශයට කෙටි මාර්ගයක් නොවේ.

පියවර 4: සත්‍යාපනය කරන්න, අවශ්‍ය නම් ආපසු හරවන්න

වැඩ පැටවීමෙන්ම නව අවසර ලත් යෙදුම් ක්‍රියාවලියක් සමඟ පරීක්ෂා කරන්න, පසුව බැහැර කළ යුතු ගමනාන්තයක් සමඟ නැවත කරන්න. දුරස්ථ සේවාව දකින මූලාශ්‍ර ලිපිනය සහ එය භාවිත කරන ආපසු මාර්ගය සටහන් කරන්න. ද්වාරයට පිංග් කිරීම හෝ හරිත IKE තත්ත්වය එම පරීක්ෂණය නොවේ.

ද්වාරය ක්‍රියා කරන අතරතුර වැඩ පැටවීම තවමත් අසාර්ථක වන්නේ නම්, පියවර හරහා අනුපිළිවෙලින් ආපසු යන්න: තේරීම්කරු, පසුව යැවීම සහ ආරක්ෂක කණ්ඩායම්, පසුව සම්බන්ධිත මාර්ගගත කිරීමේ වගුව. එක් එක් අයට වෙනස් රෝග ලක්ෂණයක් ඇත, අනුමානය සැබවින්ම වැරදි එක මඟ හරියි.

ආපසු හැරවීම එම අනුපිළිවෙලම ප්‍රතිලෝම කරයි. වැඩ පැටවීමේ උපජාලයේ මාර්ගය අවසානයේ ඉවත් කරන්න, පෙර තේරීම්කරුවන් ප්‍රතිස්ථාපනය කිරීමෙන් පසුව, එහි මූලාශ්‍ර තවදුරටත් ආරක්ෂා නොකරන ද්වාරයකට යොමු වන උපජාලයක් නොතැබීමට. මෙම ගිවිසුම් පවතින විට ස්වයං-සත්කාරක ද්වාර සත්කාරකයට වඩා සේවා කළ හැක, AWS-කළමනාකරණය කළ Site-to-Site VPN යනු වෙනත් මෙහෙයුම් ආකෘතියක් වන අතර එහිදී strongSwan ඒ වෙනුවට පාරිභෝගික ද්වාරයේ කෙළවරේ විය හැක.