EC2 naprieč zónami dostupnosti: pred VPN skontrolujte smerovanie

Kým nainštalujete softvér VPN medzi dve inštancie EC2, odpovedzte na jednu otázku: sú v tom istom VPC? Ak áno, privátna cesta už existuje a umiestnenie do rôznych zón to nemení. Väčšina práce v tejto situácii spočíva v potvrdení, ktorú smerovaciu tabuľku každá podsiet skutočne používa, a potom v zistení, či porucha bola vôbec problémom smerovania. Tunel je na túto konkrétnu otázku zvyčajne nesprávna odpoveď.

Kontrola 1: rovnaké VPC alebo rôzne VPC

VPC je regionálne a zahŕňa zóny dostupnosti, zatiaľ čo každá podsiet patrí presne do jednej zóny. Dve inštancie v rôznych zónach jedného VPC sú stále v tej istej doméne privátneho smerovania.

Rôzne VPC nikdy nezískajú privátnu trasu len preto, že zdieľajú región alebo označenie zóny. Taký prípad vyžaduje podporované pripojenie a vlastnú prácu s trasami a oprávneniami, čo je samostatné rozhodnutie.

Kontrola 2: čo hovoria smerovacie tabuľky podsietí

Zapíšte usporiadanie so skutočnými hodnotami. VPC na adrese 10.60.0.0/16 s podsietami 10.60.1.0/24 a 10.60.2.0/24 dáva inštanciám 10.60.1.10 a 10.60.2.20 cestu cez lokálnu trasu VPC.

Potom prejdite tabuľky priradené k obom podsietiam, nie len tú, ktorú ste našli prvú. Konkrétnejšia trasa kontroly alebo zariadenia môže prepísať základnú trasu a cieľ lokálnej trasy môže byť v novších konfiguráciách sám nahradený. Lokálna trasa viditeľná niekde v konzole nedokazuje, že ju používajú obe pracovné zaťaženia.

Použite privátne adresy a názvy, ktoré VPC skutočne prideľuje. Privátna adresa nemusí začínať na 10 a vymýšľanie adresy z pamäte je spôsob, ako nesprávne diagnostikovať funkčné prostredie.

Kontrola 3: smerovanie alebo autorizácia

Smerovanie dostane paket len k sieťovému rozhraniu cieľa. Bezpečnostná skupina cieľa stále musí pustiť zdroj a službu, odchádzajúce pravidlá zdroja musia povoliť požiadavku a akýkoľvek sieťový ACL musí povoliť oba smery, pretože ACL si nepamätajú stav.

Za tým stojí firewall hosťa, naviazanie počúvajúceho procesu a vlastná identita aplikácie. Každý z nich môže odmietnuť požiadavku, ktorú smerovanie doručilo bezchybne.

Prijatie musí byť skutočná operácia aplikácie. Úspešný ping nedáva prístup k aplikácii ani nedokazuje, že názov TLS a prihlasovacie údaje sú správne, a zablokovaný ping nepreukazuje, že všetky privátne služby nefungujú.

Kontrola 4: je samostatné pripojenie vôbec potrebné

VPN môže do návrhu stále patriť, ale z uvedeného dôvodu: pripojiť toto VPC ku kancelárii, pustiť notebooky alebo splniť požiadavku na prekryvnú sieť. Tento dôvod sa líši od bežnej komunikácie v tom istom VPC.

Pamätajte aj na to, čo VPC nie je. Nie je to rozšírenie domáceho ethernetového segmentu. Aplikácia, ktorá závisí od objavovania vysielaním, má samostatnú požiadavku na posúdenie. To je medzera v návrhu, nie chyba smerovania.

Kontrola 5: otázka šifrovania

Privátna adresa a povoľovacie pravidlo nehovoria nič o kryptografickej ochrane na aplikačnej vrstve. Ak údaje potrebujú ochranu od konca ku koncu, prichádza z protokolu a modelu identity, ktoré služba skutočne podporuje.

Držte tvrdenia o sieťovej a aplikačnej vrstve v poznámke k návrhu oddelene, pretože ich zlúčenie je spôsob, akým recenzia napokon tvrdí ochranu, ktorú nikto nez zaviedol.

Čo zaznamenať

Zaznamenajte oba identifikátory podsietí, smerovaciu tabuľku priradenú ku každej z nich, odkazy na bezpečnostné skupiny a operáciu aplikácie, ktorú ste testovali. To sú štyri fakty a vyriešia väčšinu budúcich sporov o túto cestu.

Samotné umiestnenie v zóne vám nikdy nepovie, aby ste pridali VPN, a nikdy nevysvetlí, prečo privátna požiadavka zlyhala.