EC2 med območji razpoložljivosti: pred VPN preverite usmerjanje

Preden med dva primerka EC2 namestite programsko opremo VPN, odgovorite na eno vprašanje: sta v istem VPC? Če sta, zasebna pot že obstaja in namestitev v različna območja tega ne spremeni. Večina dela v tej situaciji je potrditev, katero tabelo usmerjanja dejansko uporablja vsako podomrežje, in nato ugotavljanje, ali je bila okvara sploh problem usmerjanja. Tunel je običajno napačen odgovor na to konkretno vprašanje.

Preverjanje 1: isti VPC ali različni VPC

VPC je regionalen in zajema območja razpoložljivosti, medtem ko vsako podomrežje pripada natanko enemu območju. Dva primerka v različnih območjih enega VPC sta še vedno znotraj iste domene zasebnega usmerjanja.

Različni VPC nikoli ne dobijo zasebne poti samo zato, ker si delijo regijo ali oznako območja. Tak primer zahteva podprto povezavo ter lastno delo s potmi in dovoljenji, kar je ločena odločitev.

Preverjanje 2: kaj pravijo tabele usmerjanja podomrežij

Zapišite postavitev z resničnimi vrednostmi. VPC na naslovu 10.60.0.0/16 s podomrežjema 10.60.1.0/24 in 10.60.2.0/24 daje primerkoma 10.60.1.10 in 10.60.2.20 pot po lokalni poti VPC.

Nato pregledajte tabele, povezane z obema podomrežjema, ne le tisto, ki ste jo našli prvo. Bolj specifična pot za pregled ali napravo lahko razveljavi osnovno pot, tudi cilj lokalne poti pa je lahko v novejših konfiguracijah zamenjan. Lokalna pot, vidna nekje v konzoli, ne dokazuje, da jo uporabljata obe delovni obremenitvi.

Uporabite zasebne naslove in imena, ki jih VPC dejansko dodeljuje. Zasebni naslov se ne mora začeti z 10, izmišljevanje iz spomina pa je način, kako se delujoče okolje napačno diagnosticira.

Preverjanje 3: usmerjanje ali avtorizacija

Usmerjanje pripelje paket le do omrežnega vmesnika cilja. Varnostna skupina cilja mora še vedno sprejeti vir in storitev, izhodna pravila vira morajo dovoliti zahtevo, vsak omrežni ACL pa mora dovoliti obe smeri, ker ACL ne hrani stanja.

Za tem so požarni zid gosta, vezava poslušalca in lastna identiteta aplikacije. Vsak od njih lahko zavrne zahtevo, ki jo je usmerjanje dostavilo brezhibno.

Sprejem mora biti resnična operacija aplikacije. Uspešen ping ne daje dostopa do aplikacije in ne dokazuje, da sta ime TLS in poverilnice pravilna, blokiran ping pa ne dokazuje, da so vse zasebne storitve izklopljene.

Preverjanje 4: ali je ločena povezava res potrebna

VPN je lahko še vedno del zasnove, a iz navedenega razloga: povezati ta VPC s pisarno, spustiti prenosnike ali izpolniti zahtevo po prekrivnem omrežju. Ta razlog se razlikuje od običajne komunikacije znotraj istega VPC.

Zapomnite si tudi, kaj VPC ni. Ni razširitev domačega segmenta Ethernet. Aplikacija, ki je odvisna od odkrivanja s prisluškovanjem, ima ločeno zahtevo za oceno. To je vrzel v zasnovi, ne napaka pri usmerjanju.

Preverjanje 5: vprašanje šifriranja

Zasebni naslov in pravilo dovoljenja ne povesta ničesar o kriptografski zaščiti na aplikacijskem sloju. Če podatki potrebujejo zaščito od konca do konca, ta izhaja iz protokola in modela identitete, ki ju storitev dejansko podpira.

V zasnovnem zapisu imejte trditve o omrežnem in aplikacijskem sloju ločene, ker je njihovo združevanje način, kako pregled na koncu zatrjuje zaščito, ki je nihče ni izvedel.

Kaj zabeležiti

Zabeležite oba identifikatorja podomrežij, tabelo usmerjanja, povezano z vsakim, sklice na varnostne skupine in operacijo aplikacije, ki ste jo preizkusili. To so štiri dejstva in rešijo večino prihodnjih razprav o tej poti.

Sama namestitev v območje vam nikoli ne reče, da dodajte VPN, in nikoli ne pojasni, zakaj je zasebna zahteva spodletela.