VGW ද TGW ද? AWS Site-to-Site හි IPsec උමං මාර්ගය අවසන් වන්නේ කොහේද

AWS Site-to-Site VPN පැකට්ටුව ආරක්ෂා කිරීම කොහේදී නතර වේදැයි මිනිසුන් අසා එකම පිළිතුරක් අපේක්ෂා කරයි: ගේට්වේ එකේදී. එම පිළිතුරේ ප්‍රයෝජනවත් අනුවාදය කුමන ගේට්වේදැයි නම් කරයි, මන්ද අතාත්වික පෞද්ගලික ගේට්වේ සහ සංක්‍රාම ගේට්වේ වෙනස් ඇමුණුම් වස්තු සහිත වෙනස් සැකසුම් වන අතර, වැරදි එක උපකල්පනය කරන සමාලෝචකයා නොපවතින රේඛා සටහනක් මත ඉතිරි ඇගයීම ගොඩනඟයි. පහත පරීක්ෂණ තුන අනුපිළිවෙලින් කරන්න. එක් එක් පරීක්ෂණය සීමාව තහවුරු කරයි නැතහොත් පෙර පිළිතුර වෙනත් සම්පත්‍රයක් ගැන වූ බව පවසයි.

කිසිවක් ඇගයීමට පෙර කෙළවරේ ලක්ෂ්‍ය තුන නම් කරන්න

මෙම මාර්ගයේ සංකේතන සමාලෝචනයට නම් කළ දේ තුනක් අවශ්‍යයි: පාරිභෝගික ගේට්වේ, IPsec අවසන් කරන AWS VPN ඉලක්කය, සහ අභ්‍යන්තර පැකට්ටුව ලබා ගන්නා යෙදුම් කෙළවරේ ලක්ෂ්‍යය. එක් කොන්සෝල පිටුවක්වත් විවෘත කිරීමට පෙර ඒවා ඒවායේ සම්පත් හඳුනා ගන්නන් සමඟ ලියන්න, මන්ද මෙම ලක්ෂ්‍යයෙන් පසු සියල්ල එම තුනෙන් එකක් ගැන ප්‍රකාශයක් වන බැවිනි.

පාරිභෝගික ගේට්වේ ඔබේය, එහි වින්‍යාසය ඔබට පෙනේ. AWS ඉලක්කය කළමනාකරණය කරන ලද සම්පතක් වන අතර, වැරැද්ද එය උපකල්පනය කිරීමයි: VPN සම්බන්ධතාවයක් අතාත්වික පෞද්ගලික ගේට්වේ එකකට හෝ කෙලින්ම සංක්‍රාම ගේට්වේ එකකට ඈඳිය හැක, දෙකෙන් එකක්වත් අනෙක අදහස් නොකරයි. තෙවන කෙළවරේ ලක්ෂ්‍යය මිනිසුන් මඟ හරින ලක්ෂ්‍යයයි, යෙදුම් දත්ත ගැන සැබෑ ප්‍රශ්නයට පිළිතුරු දෙන්නේ එය පමණි.

පරීක්ෂණය 1: උමං මාර්ගය සැබවින්ම අවසන් කරන්නේ කුමන ගේට්වේද

සැකසුම් දෙකම අනුග්‍රහය දක්වන අතර Site-to-Site VPN නිර්මාණ මාර්ගෝපදේශය ඒවා එකිනෙකට සමාන්තරව විස්තර කරයි, එබැවින් බොහෝ විට වසරක් පැරණි රේඛා සටහනක් වෙනුවට API අසන්න. එක් සම්බන්ධතාවයක් මත කියවීම-පමණ විමසුමක් VPN ඉලක්ක ක්ෂේත්‍ර ලබා දෙයි:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

වෙනස්කරණය TransitGatewayId වේ, VpnGatewayId නොවේ. TransitGatewayId හිස්ව ඇති සම්බන්ධතාවය ස්වාධීන අතාත්වික පෞද්ගලික ගේට්වේ එකකින් අවසන් වන අතර, එම ක්ෂේත්‍රය සකසා ඇති සම්බන්ධතාවය සංක්‍රාම ගේට්වේ හි VPN ඇමුණුමකින් අවසන් වේ, එම අවස්ථාවේදී VpnGatewayId තවමත් පිරී තිබිය හැක, මන්ද එය ඇමුණුමේ ආධාරක ගේට්වේ නම් කළ හැකි බැවිනි. පළමුව TGW ක්ෂේත්‍රය කියවන්න, පසුව ඇමුණුම් වර්ගය ක්ෂේත්‍ර නාමයෙන් නොව ඇමුණුම් ලැයිස්තුවෙන් තහවුරු කරන්න, මන්ද එම සංක්‍රාම ගේට්වේ හි VPC ඇමුණුම VPN ඇමුණුම නොවන බැවිනි. සම්බන්ධිත VPC එකක ගමනාන්ත ඉන්ස්ටන්සය සොයා ගැනීම කුමන VPN ඇමුණුම පැකට්ටුව රැගෙන ගියාද යන්න ගැන කිසිවක් නොකියයි.

එහි සිටියදී උමං මාර්ග ද පරීක්ෂා කරන්න. සම්බන්ධතාවය අතිරික්තතාවය සඳහා IPsec උමං දෙකක් රැගෙන යයි, දෙවන උමං මාර්ගය කිසිදා ඉහළ නැඟී නැති සම්බන්ධතාවය සංකේතන සීමාව ගැන කිසිවක් නොවෙනස් කළත් ලබා ගැනීමේ හැකියාව සඳහා සැබෑ සොයා ගැනීමකි:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

පරීක්ෂණය 2: අභ්‍යන්තර පැකට්ටුව තවමත් රැගෙන යන්නේ කුමක්ද

IPsec අවසන් වූ පසු AWS කැප්සියුලයෙන් ඉවත් කළ පැකට්ටුව එයට ගැලපුණු මාර්ගයෙන් ඉදිරියට යවයි. එම ලක්ෂ්‍යයේ සිට ගමන් ප්‍රවාහය සාමාන්‍ය VPC ප්‍රවාහය වන අතර, VPN හි ආරක්ෂාව අවසන් වී ඇත. මෙය සේවාවේ හිඩැසක් නොවේ; මෙය සීමාවේ අර්ථයයි, ලැයිස්තුවේ ඇති කරුණ වන්නේ එය පැහැදිලිව කීමයි, "VPN සංකේතනය කර ඇත" යන්න "දත්ත මුල සිට අග දක්වා සංකේතනය කර ඇත" යන්නට ආදේශ වීමට ඉඩ නොදී.

දැන් ඇතුළත තිබුණේ කුමක්දැයි බලන්න. අභ්‍යන්තර පැකට්ටුව සරල පෙළ යෙදුම් ප්‍රොටෝකෝලයක් නම්, වෙනත් දෙයක් එය සංකේතනය කරන තෙක් පහළින් කිසිවක් රහස්‍යභාවය එකතු නොකරයි. අභ්‍යන්තර පැකට්ටුව දැනටමත් TLS සැසියක් රැගෙන යයි නම්, පිටත IPsec ඉවත් කිරීම එම සැසියට කිසිවක් වෙනස් නොකරයි: එය තමන්ගේම කෙළවරේ ලක්ෂ්‍යය දක්වා ආරක්ෂිතව පවතී, එම කෙළවරේ ලක්ෂ්‍යය කොහේ වුවද.

සාමාන්‍ය අධික නිවැරදි කිරීම වන්නේ ගේට්වේ පිටුපස සියල්ල නිරාවරණය වී ඇතැයි නිගමනය කිරීමයි. එය එසේ නොවේ. සේවා ප්‍රවාහනය, ගබඩා සංකේතනය සහ යෙදුම් TLS වෙනස් කොන්දේසි සහිත වෙනස් ක්‍රමවේද වන අතර, එක් එකක් VPN හි හැඩයෙන් අනුමාන කිරීම වෙනුවට එහිම කොන්දේසි මත ඇගයිය යුතුය. ACCEPT පෙන්වන ප්‍රවාහ ලොග් සටහන මාර්ගගත කිරීම ක්‍රියා කළ බව ඔප්පු කරයි, රහස්‍යභාවය ගැන කිසිවක් නොකියයි, මෙම ලැයිස්තුව ඇත්තේ එම වැරැද්ද වැළැක්වීමටයි.

පරීක්ෂණය 3: ගේට්වේ පිටුපස TLS අවසන් කරන්නේ කුමක්ද

ලිපිනය නොව, ශ්‍රවණය කරන්නා අනුගමනය කරන්න. භාර සමතුලිත කරන්නෙකු හෝ ප්‍රොක්සියක් TLS අවසන් කරයි නම්, ඔබේ සේවාදායකයා රඳවා ගන්නා සම්බන්ධතාවය එහිදී අවසන් වේ, ප්‍රොක්සිය බැකෙන්ඩ් වෙත දෙවන සම්බන්ධතාවයක් විවෘත කරයි, එය සරල පෙළ හෝ වෙනත් විශ්වාස දාමයක් සහිත TLS විය හැක. පෞද්ගලික IP ලිපිනයක් සහ ගැලපෙන මාර්ගයක් එම දෙවන සම්බන්ධතාවය ගැන සාක්ෂියක් නොවේ.

ඔබට සැබවින්ම වැදගත් කෙළවරේ ලක්ෂ්‍යය VPC ඇතුළතින් පරීක්ෂා කරන්න, එක් වරක් විසඳා ගත් IP එකක් වෙනුවට යෙදුම භාවිතා කරන නාමය සමඟ:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

ඉල්ලීම ගමන් කරන සෑම පිම්මක් සඳහාම මෙය නැවත කරන්න. පිළිතුර සේවාදායකයා දෙසට හැරුණු නාමය සහ බැකෙන්ඩ් නාමය අතර වෙනස් නම්, VPN කිසිදා ආවරණය නොකළ එම කොටසම ඔබ සොයා ගත්තා, එය ලිවිය යුතු සොයා ගැනීමයි.

ප්‍රතිඵලය තීන්දුවක් ලෙස නොව කොටස් ලෙස සටහන් කරන්න

මෙම ලැයිස්තුවේ ප්‍රතිදානය සෑම කොටසකටම එක් පේළියක් සහිත කුඩා වගුවකි: පාරිභෝගික ගේට්වේ සිට AWS VPN ඉලක්කය දක්වා, ගේට්වේ සිට වැඩ භාරය දක්වා, වැඩ භාරය සිට දත්ත ගබඩාව දක්වා, සහ මැද ඕනෑම ප්‍රොක්සි පිම්මක්. සෑම පේළියක්ම එය ආරක්ෂා කරන්නේ කුමක්ද සහ එම ආරක්ෂාව රඳා පවතින්නේ කුමක් මතද කියයි. ක්‍රමවේදයක් සහ කෙළවරේ ලක්ෂ්‍යයක් නොමැති "සංකේතනය කර ඇත" යනු පේළියක් නොවේ.

පසුව මූලික අවශ්‍යතාවයට එය අසන ලද එම පද වලින්ම පිළිතුරු දෙන්න. වැඩ භාරය ලබා ගන්නා තෙක් දත්ත රහස්‍යව පවතින්නේ නම් යනු අවශ්‍යතාවය නම්, VPN ඉටු කරන්නේ පළමු කොටස පමණි, ඉතිරි පේළි සඳහා යෙදුම් ප්‍රවාහනය, සේවා TLS හෝ ගබඩා සංකේතනය වෙන වෙනම වින්‍යාස කර තහවුරු කළ යුතුය.

සම්බන්ධතා හඳුනා ගන්නන්, උමං මාර්ගවල තත්ත්වය සහ සහතික විෂයයන් වාර්තාවේ තබා ගන්න. මාස හයකින් යමෙකු නිර්මාණය වෙත ආපසු පැමිණි විට, එම කෘති තුන රේඛා සටහනකින් තර්කය නැවත ආරම්භ නොකර මිනිත්තු කිහිපයකින් සීමා ප්‍රශ්නයට පිළිතුරු දෙයි.