Ktorú zdrojovú IP používa brána NAT v AWS smerom k VPN?

Otvárate konzolu VPC, pretože sa partner spýtal, aký rozsah zdrojov príde cez VPN typu lokalita-lokalita. Stránka brán NAT zobrazuje verejnú bránu s priradenou Elastic IP a pokušenie je poslať túto adresu a ísť ďalej. Je to správna odpoveď pre internetovú cestu a nesprávna pre cestu cez VPN, a rozdiel je v tom, na ktorú bránu ukazuje smerovacia tabuľka. Prejdite trasu, kým napíšete zoznam povolených.

Začnite na stránke brán NAT, nie pri zozname povolených

Stránka brán NAT vám povie podsiet, typ a Elastic IP a tieto tri polia stačia na začiatok. Čo vám nepovie, je cesta, ktorou premávka potom ide. To vyplýva zo smerovacích tabuliek pripojených k podsieti brány NAT.

Najprv si prečítajte typ, pretože verejná alebo súkromná rozhoduje o tom, či sa v reťazci neskôr objaví internetová brána. Potom si prečítajte podsiet, pretože tam žije druhá trasa.

Sledujte oba preklady

Verejné aj súkromné brány NAT prekladajú súkromný zdroj IPv4 pracovnej záťaže na vlastnú súkromnú adresu IPv4 brány NAT. Tento prvý preklad sa deje bez ohľadu na typ. Druhý preklad je ten, na ktorý sa zabúda: verejná brána NAT odovzdá premávku internetovej bráne, ktorá namapuje adresu na priradenú Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Na súkromnej ceste nie je v reťazci žiadna internetová brána. Keď premávka vychádza cez tranzitnú bránu alebo virtuálnu súkromnú bránu, sprievodca bránami NAT dokumentuje súkromnú adresu brány NAT ako zdroj, ktorý prijíma vzdialená strana. Práve túto adresu má partner povoliť, nie Elastic IP.

Cesta cez VPN zvyčajne ukazuje súkromnú adresu

Pre pracovnú záťaž v 10.20.1.0/24, ktorá dosahuje prefix partnera, smerovacia tabuľka podsiete pracovnej záťaže ukazuje na bránu NAT a smerovacia tabuľka podsiete brány NAT ukazuje na cestu súkromnej brány. Oba skoky sú dôležité a iba druhý určuje, čo partner vidí. Ak podsiet NAT nemá žiadnu trasu k ceste cez VPN, paket nikdy nedorazí, a to je iná porucha než nesprávna zdrojová adresa.

Overte túto druhú trasu, kým vôbec začnete hovoriť o adresách. Chýbajúca trasa a nesprávne nahlásený zdroj vyzerajú pre partnera, ktorý jednoducho nevidí premávku, úplne rovnako.

Keď druhý preklad zmení odpoveď

AWS ponúka aj explicitné, zodpovedajúce mapovanie NAT jedna k jednej na pripojení tranzitnej brány. Toto mapovanie môže znova preložiť zdroj, kým ho vzdialená služba uvidí, a nie je to predvolené správanie, ktoré iba smeruje. Keďže sa musí nastaviť zámerne, berte ho ako výnimku v návrhu, a nie ako niečo, čo zdedíte omylom. Ak si nikto vo vašom tíme nepamätá, že ho zapol, predpokladajte, že chýba, kým neprečítate pripojenie.

Ak ho váš návrh používa, zoznam povolených musí popisovať konečné mapovanie, nie adresu brány NAT. Rovnaká opatrnosť platí pre cesty dostupnosti: keď sa zúčastňuje niekoľko adries brán, očakávaná množina zdrojov je zjednotenie, nie jedna reprezentatívna adresa. Zapíšte, ku ktorému prekladu patrí každá adresa, pretože zoznam bez pôvodu nemožno neskôr auditovať.

Súkromnej bráne NAT nemožno dať internetovú službu nasmerovaním na internetovú bránu; AWS dokumentuje, že takáto premávka sa zahadzuje. Typ vyberte z celej cesty, nie zo slova VPN v požiadavke.

Napíšte zmluvu, podľa ktorej môže váš partner konať

Použiteľná zmluva má štyri časti: smer, z ktorého sa toky začínajú, preloženú identitu, ktorú partner uvidí, návratovú trasu pre túto identitu a rozsah ochrany, ktorý platí. Toky brány NAT sa začínajú z podporovanej zdrojovej strany, takže to nie je služba presmerovania prichádzajúcich portov na vystavenie súkromnej pracovnej záťaže. Keď to poviete nahlas včas, zabránite revízii návrhu, kde každá strana predpokladala, že začala tá druhá.

Preklad kupuje úľavu od prekrývania adries a predvídateľnú politiku zdrojov a stojí vás individuálnu identitu pracovnej záťaže v protokoloch partnera. Ak audit potrebuje priradenie podľa pracovnej záťaže, udržujte túto identitu v aplikačnej vrstve, namiesto toho, aby ste ju skúšali obnoviť z preloženej zdrojovej adresy.

Potom po každej zmene znova skontrolujte obe smerovacie tabuľky, pretože nové pripojenie alebo znova priradená podsiet ticho prepíše odpoveď.