strongSwan na EC2: naj VPC usmerja delovno obremenitev

Tunel je vzpostavljen, instanca prehoda lahko pinga oddaljeno omrežje, instanca aplikacije poleg pa ne doseže ničesar. Nič ni pokvarjeno. Preizkus, ki je uspel, se je začel na gostitelju VPN in nikoli ni vprašal, ali lahko ta gostitelj prenaša drug naslov vira skozi isto razmerje IPsec. Ta priročnik zapre to vrzel v štirih korakih, v vrstnem redu, ki ohranja vsako napako vidno.

Najprej zapišite štiri naslove

Vsak spodnji korak se sklicuje nanje, zato jih izpolnite za svoj račun, preden se dotaknete tabele usmerjanja.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Primer predpostavlja odobreno, delujočo povezavo IPsec, ki temelji na pravilnikih, in tok, ki ohranja vir. To ni NAT-ani odjemalec za oddaljeni dostop, ki si izposodi en dodeljen naslov, in ta razlika odloča, ali je treba selektorje spremeniti.

Korak 1: dajte podomrežju delovne obremenitve pot

Tabela usmerjanja, ki je dejansko povezana s podomrežjem delovne obremenitve, potrebuje pot za oddaljeno predpono, ki kaže na omrežni vmesnik prehoda. Pot gosta, nameščena znotraj instance, ni vnos v tej tabeli usmerjanja AWS in nobena konfiguracija strongSwan je ne bo ustvarila.

Smernice AWS za usmerjanje prek naprave opisujejo cilje omrežnega vmesnika in zahtevo po preverjanju vira/cilja instance, ki posreduje. Omejite to spremembo preverjanja na vlogo prehoda in pustite običajne instance aplikacij pri miru.

Ne zamenjajte lokalne poti VPC ali vsakega obstoječega vnosa, da bi naredili prostor za eno odobreno omrežje. Preglejte, kaj je povezano in aktivno, ne pa, kaj prikazuje stran konzole za tabelo usmerjanja, ki je nihče ne uporablja. Dve podobni tabeli imata lahko različne povezave. Pomembna je tista, na katero je priključeno podomrežje delovne obremenitve.

Korak 2: omogočite posredovanje na gostu

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Jedro mora posredovati in požarni zid gostitelja mora dovoliti prehod. Dodajte predvidena pravila posredovanja za predpone delovne obremenitve in oddaljenih omrežij, namesto da sprejmete vse, in potrdite, da podomrežje prehoda ohrani uporabno transportno pot za svoj promet.

Varnostne skupine so mesto, kjer se ta korak običajno ustavi. Vmesna naprava ne podeduje vedenja sklicevanja na varnostne skupine pri neposredni komunikaciji instanc, zato se pravilo, kopirano iz primera upravljanega Client VPN, morda nikoli ne ujema. Preverite varnostno skupino in ACL podomrežja na dejanski poti, v obe smeri.

Korak 3: razširite selektorje na resnične vire

Pravilnik, ki na strani AWS pokriva samo 10.60.1.10/32, pojasnjuje uspeh, ki se je začel na prehodu, ne da bi pokril 10.60.2.20. Pot proti oddaljenemu cilju ne razširi prometnega selektorja, in to je druga polovica istega presenečenja.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Če dogovorjena zasnova ščiti celoten VPC, morata oba partnerja sprejeti 10.60.0.0/16 in 10.90.0.0/24. Če ščiti eno delovno obremenitev, namerno uporabite to ožjo predpono. V vsakem primeru preglejte nameščeni pravilnik CHILD-SA, saj konfiguracija, ki ste jo uredili, in partner, ki jo je drugače zožil, nista ista pogodba.

Oddaljena lokacija mora tudi usmerjati odgovore za ohranjene vire VPC nazaj skozi predvideni prehod IPsec. Ohranite podprto izjemo NAT za zaščiten promet tam, kjer obstajajo druga pravila izvornega NAT; prevajanje neodobrene delovne obremenitve v dovoljen naslov gostitelja je druga pogodba o identiteti, ne bližnjica do dostopa, ki ste ga želeli.

Korak 4: preverite in po potrebi povrnite

Preizkusite z delovne obremenitve same z novo dovoljeno operacijo aplikacije, nato ponovite s ciljem, ki bi moral biti izključen. Zapišite naslov vira, ki ga vidi oddaljena storitev, in povratno pot, ki jo uporablja. Ping prehoda ali zelen status IKE ni ta preizkus.

Če delovna obremenitev še vedno ne uspe, medtem ko prehod deluje, se vrnite po korakih v vrstnem redu: selektor, nato posredovanje in varnostne skupine, nato povezana tabela usmerjanja. Vsak ima drugačen simptom in ugibanje preskoči tistega, ki je resnično napačen.

Povrnitev obrne isti vrstni red. Pot podomrežja delovne obremenitve odstranite zadnjo, potem ko obnovite prejšnje selektorje, da ne pustite podomrežja, ki kaže na prehod, ki ne ščiti več njegovih virov. Lastno gostovanje lahko služi več kot gostitelj prehoda, ko te pogodbe veljajo, in Site-to-Site VPN, ki ga upravlja AWS, je drugačen operativni model, kjer je strongSwan lahko namesto tega na strani odjemalčevega prehoda.