Plný tunel Access Servera na EC2: prečo jedno zaškrtávacie políčko nestačí

Vypnutie kontroly zdroja a cieľa na inštancii EC2 je najčastejšie opakovaná odpoveď na otázky o internetovom výstupe Access Servera a samo o sebe pre vašich klientov nič nerobí. Kontrola je obmedzenie preposielania v AWS: núti inštanciu prijímať pakety, ktorých zdroj alebo cieľ nie je jej vlastná adresa. Nehovorí klientovi Access Servera, aby posielal internetovú prevádzku tunelom, nevytvára cestu nahor a nepridáva NAT. Mýtus je, že zaškrtávacie políčko je tou funkciou.

Čo kontrola v skutočnosti riadi

Každé sieťové rozhranie EC2 zahadzuje prevádzku, ktorá nie je adresovaná jemu, ak inštancia nevystupuje ako router, zariadenie NAT alebo VPN brána a túto kontrolu nevypnete. Vypnutím získate povolenie preposielať. Povolenie nie je konfigurácia: inštancia stále potrebuje cestu k internetovej bráne alebo zariadeniu NAT, smerovacia tabuľka VPC stále potrebuje zodpovedajúci záznam, bezpečnostné skupiny stále musia povoliť tok a server stále musí prekladať alebo smerovať návratovú prevádzku.

Overte aktuálnu hodnotu pomocou aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck, kým čokoľvek zmeníte. Ak ju zmeníte v konzole, zmeňte ju preto, že inštancia preposiela za iných, nie preto, že sa klient nedostane na internet.

Politiku smerovania klienta vlastní Access Server

V Access Serveri 3 otvorte Access Controls a nájdite sekciu Internet Access and DNS. Voľba Internet Gateway ponúka plný alebo rozdelený tunel; plný tunel hovorí klientovi smerovať predvolenú prevádzku do VPN, rozdelený tunel necháva internetovú prevádzku na lokálnej ceste klienta. Uložte a aplikujte cez pracovný postup produktu, potom znova pripojte testovacieho klienta, pretože politika sa doručuje v čase pripojenia.

Staršie vydania používajú iné ponuky a niektoré zostavenia Community OpenVPN nemajú ekvivalentné ovládanie. Overte nainštalovanú hlavnú verziu, kým budete hľadať obrazovku, ktorá neexistuje. Potom potvrďte, čo klient dostal: profil plného tunela by mal nainštalovať predvolenú cestu tunelom a profil rozdeleného tunela by to nemal robiť.

Sledujte paket po tuneli

Keď klient pošle internetovú prevádzku do tunela, server ju musí preposlať a zvyčajne preložiť. Access Server spravuje vlastné pravidlá NAT a smerovania, preto čítajte skutočnú konfiguráciu, namiesto pridávania pravidiel Community OpenVPN do generovaných súborov; nespravované pravidlá sa pri ďalšej aktualizácii produktu prepíšu alebo sa dostanú do konfliktu. sudo iptables -t nat -L -n -v alebo ekvivalent pre nftables ukazuje, čo sa skutočne prekladá.

Strana AWS je samostatná cesta. Inštancia vo verejnej podsieti dosiahne internetovú bránu priamo a zachová si verejnú adresu alebo elastickú IP. Inštancia v súkromnej podsieti potrebuje cestu k bráne NAT alebo inštancii NAT a zariadenie NAT potrebuje vlastnú cestu k internetovej bráne. Pripojenie internetovej brány k VPC samo o sebe nedá žiadnemu súkromnému zdroju verejnú návratovú adresu, a preto rovnaké nastavenie Access Servera funguje v jednej podsieti a v inej ticho zlyhá.

Skontrolujte smerovaciu tabuľku priradenú podsieti inštancie, nielen hlavnú tabuľku VPC. Priradenia podsietí prebíjajú hlavnú tabuľku a zastarané priradenie je častou príčinou, prečo funkčná konfigurácia po prestavbe prestane fungovať.

Držte výstup IP a DNS oddelene

Otestujte najprv adresný literál, potom názov, z tej istej klientskej aplikácie. Ak curl -4 https://checkip.amazonaws.com vráti verejnú adresu, ale názvy hostiteľov zlyhajú, tunel aj cesta NAT fungujú a problém je v DNS: odoslaný resolver, stav resolvera klienta alebo bezpečnostná skupina, ktorá resolver blokuje. Nastavenia DNS Access Servera sú v tej istej oblasti Internet Access, ale idú inou cestou kódu.

Porovnajte vrátenú adresu s výstupom, ktorý ste zamýšľali. Ak je to verejná adresa inštancie, prevádzku prekladá inštancia; ak je to adresa brány NAT, používa sa cesta súkromnej podsiete. Oboje môže byť správne. Čo však nemôžete uzavrieť, je tvrdenie, že prehliadač na serveri dokazuje preposielanie pre klienta.

Nenechajte jedno políčko uzavrieť vyšetrovanie

IPv6 je samostatné rozhodnutie. Politika plného tunela pre IPv4 nehovorí nič o tom, či sa IPv6 prenáša, blokuje alebo uniká, a klient s duálnym zásobníkom môže ďalej používať svoju lokálnu cestu IPv6, kým IPv4 ide tunelom. Otestujte rodinu adries, na ktorej vám skutočne záleží, a výslovne rozhodnite, či má byť druhá vypnutá.

Nakoniec otestujte odpojený stav. Voľba plného tunela opisuje politiku smerovania počas pripojenia, nie to, čo sa stane, keď tunel spadne. Ak je požiadavkou, aby žiadna prevádzka neunikla mimo VPN, je to otázka kill-switch a firewallu a vyžaduje si vlastný test namiesto odvodenia zo smerovacej tabuľky.