AWS Client VPN waa ku xiran yahay, laakiin EC2 wali ma jawaabo

Laptop-kaygu wuxuu muujiyay ku xiran. Macmiilka AWS Client VPN wuxuu muujiyay xaaladdiisa cagaaran, endpoint-ku wuxuu diiwaangeliyay fadhi, welina ma aan furi karin deked MongoDB oo ku taal EC2 instance ku jira subnet gaar ah. Waxba si cad uma jabin: shahaadadu way saxnayd, profile-ku wuxuu ka yimid console-ka, tunnellna wuxuu qaadayay gaadiid. Khaladku kayga ahaa, maxaa yeelay waxaan u akhrinayay ku xiran sida la fasaxay.

Gelitaanku wuxuu ka jawaabaa hal su'aal oo keliya: ma awoodaa aqoonsigan inuu sameeyo fadhi? Wax kasta oo ka dambeeya waxaa go'aamiya xeerar gaar ah oo aan waligood arkin shahaadadaada. Fadhiga la xaqiijiya iyo baakadda yimaadda waa laba guul oo kala duwan, farqiga u dhexeeyaana waa halka ay ku nool yihiin inta badan warbixinnada nooca VPN-ku shaqaynayaa laakiin martigeliyahuna aan la gaari karin.

Hubinta hoose waa habka aan hadda isticmaalo.

Maxaa fadhi ku xiran run ahaantii caddeeya

Inta lagu jiro handshake, endpoint-ku wuxuu ku xaqiijiyaa shahaadada macmiilka trust store-kiisa, ama wuxuu browser-ka u weeciyaa bixiyaha aqoonsigaaga marka SAML la habeeyay. Haddii taasi gudubto, macmiilku wuxuu helaa cinwaan ka yimid CIDR-ka macmiilka endpoint-ka, console-kuna wuxuu muujiyaa xiriir firfircoon. Waqti kasta oo ka mid ah isweydaarsigaas ma jirto wax weydiinaya haddii aad gaari karto 10.0.4.17 dekedda 27017.

Fasaxa loo maro meel loo socdo waa shay gaar ah oo endpoint-ka ku yaal. Qulqul kastaa waxaa lagu barbardhigaa xeerarka fasaxa, mid kastaana wuxuu isku xiraa CIDR-ka meesha loo socdo iyo kooxda xeerka la siiyay. Marka aanu xeerku daboolin meesha loo socdo, endpoint-ku wuxuu aqbalaa fadhiga oo wuxuu tuuraa gaadiidka. Ma jiro banner, ma jiro loop dib-u-xiriir, mana jiro wax ku yaal interface-ka macmiilka oo sheegaya waa la diiday.

Xeerka fasaxa la barbardhig kheyraadka, ma aha VPC-ga

Liis xeerarka oo dhig cinwaanka ay instance-ku run ahaantii leedahay agtiisa:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Soo-saarku wuxuu muujiyaa CIDR-ka meesha loo socdo iyo ID-ga kooxda xeer kasta. Waxaa ku qarsoon laba guuldarro. Xeerku wuxuu fasaxi karaa 10.0.0.0/16 halka instance-ku ku jiro VPC peer ah oo 10.1.0.0/16; waddada peering way jirtaa, laakiin qofna ma qorin xeer fasax oo loogu talagalay tirada labaad. Ama xeerku wuxuu tilmaamayaa koox directory ah oo isticmaalahu ku leeyahay xubinimo directory-ga, laakiin aan ku lahayn kooxda ay endpoint-ku qiimeyso.

Qor xeerka ugu cidhiidhsan ee daboola meesha loo socdo, oo ku dar mid labaad kaliya marka CIDR labaad run ahaantii loo baahan yahay. Xeerka ballaaran 0.0.0.0/0 ee ka yimid bilow degdeg ah wuu shaqeeyaa, taasna waa sababta uu ugu noolaado ilaa wax-soo-saarka oo uu u qariyo qaabka.

Labada shax oo waddooyinka ayaa go'aamiya haddii baakaddu dhaqaaqdo

Waddada endpoint-ku waxay CIDR-ka meesha loo socdo ku xirtaa mid ka mid ah subnet-yada endpoint-ku ku xiran yahay. Taasi waa barka waddada. Shaxda waddooyinka subnet-ka laftiisu wali waa inuu ogaadaa sida baakadda loo sii gudbiyo, taasna waxay muhiim noqotaa marka meesha loo socdo ay ka dambeeyso xiriir peering, transit gateway, ama xad maxalli ah oo laga gaari karo tunnel site-to-site.

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6a7b8

Raadi waddo ay meesha loo socdo la socoto CIDR-ka kheyraadka oo bartilmaameedkeedu yahay subnet xiran. Haddii waddadu maqan tahay, ku dar. Haddii ay jirto oo martigeliyahuna wali aamusan yahay, farqigu waa dhinaca VPC, sidaas darteed la barbardhig shaxda waddooyinka subnet-ka xiriirka.

Isku-duubidka macmiilka oo kaliya ayaa jebiya waddo-marinta iyada oo aan jebinin tunnellada: profile ay ku jirto route-nopull. Amarku wuxuu u sheegaa macmiil ku salaysan OpenVPN inuu iska indhatiro waddooyinka uu server-ku riixo, sidaas darteed interface-ku wuxuu soo baxaa kaliya cinwaanka endpoint-ka oo meesha loo socdana waddo ma leh. Hubi ip route show Linux ama netstat -rn macOS haddii waddo ku timid interface-ka tun. Haddii aanay jirin, ka saar route-nopull profile-ka la dhoofiyay oo dib u xiriir si waddooyinka la riixay loo dabaqo.

Kooxaha amniga ma arkaan cinwaanka macmiilkaaga

Tani waa qaybta aan galab dhan khalad ku hayay. Endpoint IPv4 oo subnet ku xiran, adeeggu wuxuu u tarjumaa cinwaanka isha macmiilka cinwaanka interface-ka shabakada endpoint-ka subnet-kaas. Baakadda gaadha instance-ka ma qaaddo cinwaanka uu macmiilkaagu muujiyay, sidaas darteed xeerka kooxda amniga ee fasaxa barta macmiilka, aan dhahno 172.16.0.0/22, waxba lama socdo.

U fasax dekedda kooxda amniga endpoint-ka, oo ku xiran interface-ka xiriirka, halkii ay ka iman lahayd CIDR-ka macmiilka. Kooxda tixraaciddeedu way ka waartaataa cinwaan adag, maxaa yeelay cinwaanka interface-ka ma aha mid aad maamusho. ACL-yada shabakaddu waa kuwo aan xaal lahayn, sidaas darteed meel kasta oo ay jiraan gelitaanno gaar ah, labada jiho ee soo-gelinta iyo bixintuba waa inay fasaxaan qulqulka.

Ku xiriir sidoo kale cinwaanka gaarka ah ee instance-ka. IP dadweyne ayaa baakadda ka saarta VPC oo dib ugu soo celisa waddo kale oo xeerar kale leh, sidaas darteed imtixaan ku salaysan cinwaanka dadweynaha waxna kama sheegayo waddada gaarka ah.

Hannaanka go'doominta ee ku hakada guuldarrada koowaad

Mar hannaankan si taxane ah oo ku hakad halka mid fashilmo. Tallaabo kastaa waxay meesha ka saartaa hal lakab, ma aha dhammaan.

1. Xaqiiji aqoonsiga fadhigu isticmaalay iyo kooxda endpoint-ku qiimeeyo. Shahaado ka timid hal trust store ma aha isla qofka uu yahay caddaynta SAML ee ka timid directory-ga.
2. Xaqiiji in xeer fasax uu daboolo CIDR-ka kheyraadka kooxdaas.
3. Xaqiiji in waddo endpoint ay jirto oo ay bartilmaameedsato subnet xiran, ka dibna in shaxda waddooyinka subnet-ku sii gudbin karto.
4. Xaqiiji in kooxda amnigu dekedda u fasaxdo interface-ka endpoint-ka ee aan ahayn barta macmiilka.
5. Imtixaan gudaha VPC, adigoo isticmaalaya fadhi SSM oo ku yaal instance kale oo isla subnet-ka, si aad u kala soocdo dhibaatada barnaamijka iyo dhibaatada waddada macmiilka.

Marka tallaabooyinku aanay go'aan gaar ahayn, shaxdan ayaan ku tiirsanaa:

Laba faahfaahin oo akoonka ah waxay soo saaraan calaamado u eg guuldarro fasax. Isticmaale kastaa wuxuu u baahan yahay shahaado macmiil oo gaar ah; mid laba mishiin la wadaagaa wuxuu fadhifyada ka dhigaa inay midba midka kale riixo, natiijaduna waa loop dib-u-xiriir ee ma aha diidmo. Marka endpoint cusub la abuuro, console-ku wuxuu muujiyaa magac DNS oo qaar ka mid ah noocyada macmiilku aqbalaan kaliya prefix-ka random ee lagu muujiyay bogga endpoint-ka, sidaas darteed koobi magaca buuxa halkii aad dib u dhis lahayd.

Haddii tallaabada shanaad ku xannibto, soo jiid log-ga xiriirka endpoint-ka oo akhri gelitaannada fasaxa ka hor inta aanad wax beddelin. Log-ku wuxuu magacaabaa meesha loo socdo ee la hubiyay iyo xeerka ku habboon ama aan ku habboonayn, taasna waxay su'aasha afarta lakab leh u soo koobtaa hal jawaab.