Polni tunel Access Serverja na EC2: zakaj eno potrditveno polje ni dovolj

Izklop preverjanja vira in cilja na primerku EC2 je najpogosteje ponovljen odgovor na vprašanja o internetnem izhodu Access Serverja in sam po sebi ne naredi ničesar za vaše odjemalce. Preverjanje je omejitev posredovanja v AWS: primerku omogoči sprejemanje paketov, katerih vir ali cilj ni njegov lastni naslov. Odjemalcu ne reče, naj pošilja internetni promet skozi tunel, ne ustvari poti navzgor in ne doda NAT. Mit je, da je potrditveno polje sama funkcija.

Kaj preverjanje dejansko nadzira

Vsak omrežni vmesnik EC2 zavrže promet, ki ni naslovljen nanj, razen če primerek deluje kot usmerjevalnik, naprava NAT ali prehod VPN in to preverjanje izklopite. Izklop da dovoljenje za posredovanje. Dovoljenje ni konfiguracija: primerek še vedno potrebuje pot do internetnega prehoda ali naprave NAT, tabela poti VPC še vedno potrebuje ustrezni vnos, varnostne skupine morajo še vedno dovoliti tok, strežnik pa mora še vedno prevesti ali usmeriti povratni promet.

Preverite trenutno vrednost z aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck, preden karkoli spremenite. Če jo spremenite v konzoli, jo spremenite zato, ker primerek posreduje za druge, ne zato, ker odjemalec ne doseže interneta.

Politika usmerjanja odjemalca pripada Access Serverju

V Access Serverju 3 odprite Access Controls in poiščite razdelek Internet Access and DNS. Izbira Internet Gateway ponuja polni ali razdeljeni tunel; polni tunel odjemalcu reče, naj usmeri privzeti promet v VPN, razdeljeni pusti internetni promet na lokalni poti odjemalca. Shranite in uporabite skozi delovni tok izdelka, nato znova povežite preskusnega odjemalca, ker se politika dostavi ob povezavi.

Starejše izdaje uporabljajo druge menije in nekatere različice Community OpenVPN nimajo enakovrednega nadzora. Preverite nameščeno glavno različico, preden iščete zaslon, ki ne obstaja. Nato potrdite, kaj je odjemalec prejel: profil polnega tunela naj bi namestil privzeto pot skozi tunel, profil razdeljenega tunela pa ne.

Sledite paketu po tunelu

Ko odjemalec pošlje internetni promet v tunel, ga mora strežnik posredovati in običajno prevesti. Access Server upravlja lastna pravila NAT in usmerjanja, zato berite dejansko konfiguracijo, namesto da bi dodajali pravila Community OpenVPN v ustvarjene datoteke; neupravljana pravila se prepišejo ali pridejo v navzkrižje pri naslednji posodobitvi izdelka. sudo iptables -t nat -L -n -v ali enakovredna različica nftables pokaže, kaj se dejansko prevaja.

Stran AWS je ločena pot. Primerek v javnem podomrežju doseže internetni prehod neposredno in obdrži svoj javni naslov ali elastični IP. Primerek v zasebnem podomrežju potrebuje pot do prehoda NAT ali primerka NAT, naprava NAT pa potrebuje svojo pot do internetnega prehoda. Priključitev internetnega prehoda na VPC sama po sebi ne da nobenemu zasebnemu viru javnega povratnega naslova, zato ista nastavitev Access Serverja deluje v enem podomrežju in v drugem tiho odpove.

Preverite tabelo poti, povezano s podomrežjem primerka, ne le glavne tabele VPC. Povezave podomrežij preglasijo glavno tabelo, zastarela povezava pa je pogost razlog, da delujoča konfiguracija po ponovni izgradnji obstane.

Ločite izhod IP in DNS

Najprej preizkusite dobesedni naslov, nato ime, iz iste odjemalske aplikacije. Če curl -4 https://checkip.amazonaws.com vrne javni naslov, a imena gostiteljev odpovejo, tunel in pot NAT delujeta, težava pa je v DNS: poslani razreševalnik, stanje razreševalnika pri odjemalcu ali varnostna skupina, ki blokira razreševalnik. Nastavitve DNS Access Serverja so na istem območju Internet Access, vendar potujejo po drugi kodni poti.

Primerjajte vrnjeni naslov z izhodom, ki ste ga nameravali. Če je to javni naslov primerka, promet prevaja primerek; če je to naslov prehoda NAT, se uporablja pot zasebnega podomrežja. Oboje je lahko pravilno. Česar pa ne morete sklepati, je da brskalnik na strežniku dokazuje posredovanje za odjemalca.

Ne dovolite, da eno polje zapre preiskavo

IPv6 je ločena odločitev. Politika polnega tunela za IPv4 ne pove ničesar o tem, ali se IPv6 prenaša, blokira ali uhaja, in odjemalec z dvojnim skladom lahko še naprej uporablja svojo lokalno pot IPv6, medtem ko IPv4 potuje skozi tunel. Preizkusite družino naslovov, ki vam je res pomembna, in izrecno odločite, ali je treba drugo onemogočiti.

Na koncu preizkusite odklopljeno stanje. Izbira polnega tunela opisuje politiko usmerjanja med povezavo, ne tega, kaj se zgodi, ko tunel pade. Če je zahteva, da noben promet ne uide izven VPN, je to vprašanje kill-switcha in požarnega zidu in potrebuje lasten preizkus namesto sklepa iz tabele poti.