Kateri izvorni IP uporablja prehod NAT pri AWS proti VPN?

Odprete konzolo VPC, ker je partner vprašal, katero izvorno območje bo prispelo prek VPN od lokacije do lokacije. Stran prehodov NAT prikazuje javni prehod s pripetim Elastic IP, in skušnjava je poslati ta naslov in iti naprej. To je pravilen odgovor za internetno pot in napačen za pot VPN, razlika pa je v tem, na kateri prehod kaže usmerjevalna tabela. Prehodite pot, preden napišete seznam dovoljenih.

Začnite na strani prehodov NAT, ne na seznamu dovoljenih

Stran prehodov NAT vam pove podomrežje, vrsto in Elastic IP, in ta tri polja so dovolj za začetek. Česa ne pove, je pot, po kateri promet nato gre. To izhaja iz usmerjevalnih tabel, pripetih na podomrežje prehoda NAT.

Najprej preberite vrsto, ker javni ali zasebni odloča, ali se bo pozneje v verigi pojavil internetni prehod. Nato preberite podomrežje, ker tam živi druga pot.

Sledite obema pretvorbama

Javni in zasebni prehodi NAT pretvarjajo zasebni vir IPv4 delovne obremenitve v lastni zasebni naslov IPv4 prehoda NAT. Ta prva pretvorba se zgodi ne glede na vrsto. Druga pretvorba je tista, ki jo ljudje pozabijo: javni prehod NAT preda promet internetnemu prehodu, ki naslov preslika v pripeti Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Na zasebni poti v verigi ni internetnega prehoda. Ko promet odhaja skozi tranzitni prehod ali virtualni zasebni prehod, vodnik po prehodih NAT dokumentira zasebni naslov prehoda NAT kot vir, ki ga prejme oddaljena stran. Prav ta naslov mora partner dovoliti, ne Elastic IP.

Pot VPN običajno pokaže zasebni naslov

Za delovno obremenitev v 10.20.1.0/24, ki doseže predpono partnerja, usmerjevalna tabela podomrežja delovne obremenitve kaže na prehod NAT, usmerjevalna tabela podomrežja prehoda NAT pa na pot zasebnega prehoda. Oba skoka štejeta, in le drugi odloča, kaj partner vidi. Če podomrežje NAT nima nobene poti do poti VPN, paket nikoli ne prispe, in to je drugačna napaka kot napačen izvorni naslov.

Preverite to drugo pot, preden sploh govorite o naslovih. Manjkajoča pot in napačno sporočen vir sta za partnerja, ki preprosto ne vidi prometa, videti popolnoma enako.

Ko druga pretvorba spremeni odgovor

AWS ponuja tudi izrecno, ustrezno preslikavo NAT ena na ena na priključku tranzitnega prehoda. Ta preslikava lahko vir še enkrat pretvori, preden ga oddaljena storitev vidi, in to ni privzeto vedenje, ki samo usmerja. Ker jo je treba nastaviti namerno, jo obravnavajte kot projektno izjemo in ne kot nekaj, kar podedujete po nesreči. Če se nihče v vaši ekipi ne spomni, da jo je vklopil, predpostavite, da je ni, dokler ne preberete priključka.

Če jo vaša zasnova uporablja, mora seznam dovoljenih opisovati končno preslikavo in ne naslova prehoda NAT. Enaka previdnost velja za poti razpoložljivosti: ko sodeluje več naslovov prehodov, je pričakovani nabor virov unija, ne en reprezentativni naslov. Zapišite, kateri pretvorbi pripada vsak naslov, ker seznama brez izvora pozneje ni mogoče revidirati.

Zasebnemu prehodu NAT ni mogoče dati internetne storitve tako, da ga usmerite na internetni prehod; AWS dokumentira, da se tak promet zavrže. Vrsto izberite iz celotne poti, ne iz besede VPN v zahtevi.

Napišite pogodbo, po kateri lahko vaš partner ukrepa

Uporabna pogodba ima štiri dele: smer, iz katere se začnejo tokovi, prevedeno identiteto, ki jo bo partner videl, povratno pot za to identiteto in veljavni obseg zaščite. Tokovi prehoda NAT se začnejo s podprte izvorne strani, zato to ni storitev posredovanja vhodnih vrat za razkritje zasebne delovne obremenitve. Če to poveste glasno zgodaj, preprečite pregled zasnove, v katerem je vsaka stran domnevala, da je začela druga.

Pretvorba kupi olajšanje zaradi prekrivanja naslovov in predvidljivo politiko virov, stane pa vas posamezno identiteto delovne obremenitve v dnevnikih partnerja. Če revizija potrebuje dodelitev po delovni obremenitvi, hranite to identiteto na aplikacijski ravni, namesto da bi jo poskušali obnoviti iz prevedenega izvornega naslova.

Nato po vsaki spremembi znova preverite obe usmerjevalni tabeli, ker novo priključitev ali znova povezano podomrežje tiho prepiše odgovor.