AWS Client VPN ama bastion si loo gaaro VPC peering leh

Hal endpoint Client VPN ah wuxuu gaari karaa VPC peering la leh VPC-giisa xiriirka, mana u baahnid bastion si taas u noqoto mid sharci ah. Doorashada mudan in la sameeyo waa halka gaadiidku gacmo ku beddelanayo: waddo endpoint oo ku soo degta subnet-ka xiriirka oo ka gudubta xiriirka peering, ama host ku jira VPC peering leh oo joojiya fadhiga. Labada waddo way shaqeeyaan oo waxay ku guuldareystaan meelo kala duwan, sidaas darteed go'aanku waa ku saabsan lahaanshaha iyo hantidhawrka, ma aha waxa AWS oggol yahay. Waa kan sida aan u dhex doorto, iyo afarta gelitaan ee waddada la marsheeyay ka dhigaya mid shaqeysa.

Laba waddo, hal endpoint, milkiileyaal kala duwan

Waddada la marsheeyay, gaadiidka macmiilka wuxuu gaaraa endpoint-ka, waxaa loo tarjumaa cinwaanka interface-ka shabakada Client VPN ee subnet-ka xiriirka, wuxuuna ka baxaa subnet-kaas isagoo maraya xiriirka peering ee A ilaa B. VPC B ma joojiyo fadhi VPN ah; wuxuu arkaa gaadiid caadi ah oo ka imanaya VPC A, taas darteed waddadiisa dib-u-noqodku waxay tilmaamaysaa VPC A, ma aha barkada macmiilka.

Waddada bastion, macmiilku wuxuu marka hore gaaraa host. Bastion ku jira A wali wuxuu u oggolaanayaa boodhka ugu dambeeya inuu ka gudbo xiriirka peering, sidaas darteed waad haysataa shaqada peering oo waxaad ku darsataa fadhi. Bastion ku jira B sidoo kale wuxuu u baahan yahay waddo ka timaadda macmiilka, marka waddadaasi ay tahay isla waddada endpoint-ka, waxaad haysataa naqshadda la marsheeyay iyo boodh dheeraad ah. Bastion wuxuu shaqada yareeyaa kaliya marka uu horey u jiray, horey loo ansixiyay, iyo waxa ka dambeeya uu u baahan yahay xad fadhi halkii xad shabakadeed.

Afar gelitaan ayaa waddada la marsheeyay ka dhigaya mid shaqeysa

AWS waxay diiwaangelisaa xaaladdan bogga Client VPN how-it-works, ficil ahaanna waxay ku yaraataa afar gelitaan oo ay leeyihiin laba ama saddex kooxood. Xadka waa tusaale; xadka peering waa inuu noqdaa mid gaar ah, xadka dib-u-noqodkuna waa inuu la jaanqaado qorshahaaga.

Waddada iyo fasaxa waa kontoroolo gooni ah. Waddo endpoint oo sax ah oo aan lahayn qaanuun fasax oo u dhigma waxba ma siiso macmiilka; qaanuun fasax oo loogu talagalay meel uusan endpoint-ku marsheyn karin wuxuu siiya god madow. Labaduba waa inay sheegaan isla xadka.

Waddada endpoint waxay tilmaamaysaa subnet ku jira VPC-da endpoint-ka laftiisa, waligeed ma tilmaamayso xiriirka peering. Shaxda waddooyinka VPC waxay tilmaamayaan xiriirka peering, waligeed ma tilmaamayaan instance ama interface. Nuqul ka sameynta qiime u dhexeeya labada waa la kaydiyaa iyada oo aan cabasho la hayn waxbana ma marsheynayso.

Maadaama subnet-ka xiriirku uu tarjumo isha macmiilka, B waa inuu dib ugu noqdaa VPC A, ma aha barkada macmiilka. U dirista xadka macmiilka xiriirka peering waxay u ekaanaysaa mid simmetrical ah, waxay dhaqaaqa dib-u-eegista oo si aamusan ayay u guuldareysataa sababtoo ah B waligiis ma arko baakad leh isha macmiilka.

Kooxaha amniga iyo mitirka ugu dambeeya ee fasaxa

Marsheynta waxay baakadaha keenaysaa B; B wali wuu go'aansadaa. Xiriirka peering ee firfircoon ee isla gobolka, koox amniga oo ku jirta B waxay tixraaci kartaa kooxda lagu dabaqay xiriirka Client VPN, taas oo qaanuunka ka dhigaysa mid cidhiidhi ah oo ka badbaada isbeddelada cinwaanka. Meesha tixraaca kooxdu aanay suurtogal ahayn, si cad u fasax xadka subnet-ka xiriirka halkii aad ka ballaarin lahayd 0.0.0.0/0, taas oo khalad marsheyn ah u beddela timeout aan la sharraxin.

Kadib hubi waxa marsheyntu waligeed taaban: ACL-yada shabakada ee labada subnet, liiska fasaxa ama dhagaystayaasha token-ka codsiga, iyo DNS. Peering ma nuqul ka sameyso aagagga martigelinta gaarka ah, sidaas darteed laptop-ku wuxuu hayn karaa waddo shaqeysa oo u socota cinwaan uusan xallin karin, xiriirka peering-na kalsooni kuma daro shahaadada. U jeedi endpoint-ka resolver ka jawaaba B, kadibna xaqiiji in magaca gaarka ah iyo shahaadadu is waafaqaan.

Marka bastion uu yahay jawaabta daacadda ah

Waxaan hayaa saddex kicin si ula kac ah loo doorto bastion. VPC-da peering leh waxaa leh koox aan ku darin doonin waddo dib-u-noqod oo xadkaaga ah ama aan aqbali doonin tixraac koox. Helitaanku waa in loo ansixiyaa ama loo diiwaangeliyaa fadhi kasta, codsiguna isagu ma qaadi karo. Ama boodhka ugu dambeeya waa inuu ku sii jiraa B gudaha sababtoo ah adeegga waxaa lagu xalliyaa halkaas oo kaliya oo aqoonsiga TLS-kiisu ku xiran yahay magac gudaha.

Midna kama mid ah waa hareer-mar ku saabsan xaqiiqda ah in peering uusan transit ahayn. Aan-transit-ahaan waxay xaddidaa waxa kheyraadka B sameyn karaan: ma isticmaali karaan A sidii transit loo maro VPC saddexaad oo A peering la leh. Waligeed macnaheedu ma ahayn in isticmaalaha VPN uusan gaari karin si toos ah VPC peering leh, bastion-ka loo dhisay inuu ka gudbo akhrinta khaldan waa host la patch-gareeya sabab la'aan.

Khaladka lidka ku ah wuxuu waqti ka dib qaataa qiimo badan: dhammaan kooxaha mari hal bastion oo horey u jiray, kadib ogaado in kooxdiisa amniga, shaxdiisa waddooyinka iyo daaqada patch-ku ay yihiin ku-tiirsanaanta wax-soo-saarka. Qor kicinta host-ku u adeego, oo ka fadhiisi marka kicintu tagto.

Transit Gateway iyo dhowr xiriir ayaa xisaabta beddela

Haddii endpoint-ka si toos ah loogu xiro Transit Gateway halkii subnet, qaabku wuu is beddelaa: macmiillada lama tarjumo cinwaanka interface ee subnet-ka xiriirka, shaxda waddooyinka gateway-na waa inay qaadaan xadka macmiilka iyo isku-xirka u horseedaya VPC peering leh. Taasi waa nadiif miisaanka, laakiin shaqadu waxay ka guureysaa afar gelitaan una guureysaa shaxda waddooyinka gateway.

Dhowr xiriir waxay kordhiyaan hubinta. Waddada endpoint waxaa leh endpoint-ka, haddana subnet kasta oo xiriirku wuxuu u baahan yahay shax waddooyin leh boodhka xiga peering dhab ah. Fadhi wuu ku guuleysan karaa hal xiriir halka mid kale uusan lahayn waddo dib-u-noqod, sidaas darteed mid kasta tijaabi.

Nidaamka xaqiijinta ee jebinta si degdeg ah u hela

Ku socodsii kuwani nidaam; tallaabo kastaa way dhaafi kartaa halka tan xigta ay guuldareysato, timeout-ka macmiilkuna marar badan ma sheego tan jabtay.

1. Ka xalli magaca codsiga macmiilka oo hubi in cinwaanku ku jiro xadka peering.
2. Ku xir, kadib akhri diiwaanka xiriirada endpoint-ka ee xiriirka joojiyay fadhiga.
3. Subnet-kaas xiriirka, xaqiiji in shaxda waddooyinku xadka peering u jeediso xiriir peering firfircoon.
4. Subnet-ka kheyraadka ee B, xaqiiji gelitaan dib-u-noqod oo xadka interface-ka ah iyo qaanuunada koox ee u dhigma.
5. Tijaabi hal hawl oo la fasaxay iyo hal kheyraad oo ay tahay inuu ahaado mid aan la gaari karin; tan labaad waxay qabataa hadhaaga dib-u-baadhista.
6. Dib u xir ka dib isbeddel kasta oo waddada split-tunnel ah, sababtoo ah tunnel socda ma qaadan doono xad waddooyin cusub.

Laba calaamadood ayaa mudan in la xasuusto. SYN oo gaara B isagoo aan jawaab lahayn had iyo jeer waa waddada dib-u-noqod ee maqan. Xiriir dhammaada kadib dib loo celiyo badanaa waa kooxda, ACL ama codsiga. Midkoodna kama muuqdo diiwaanka endpoint-ka sabab ahaan, sidaas darteed hay afar gelitaan oo milkiile ku xiga mid kasta.

Haddii midkoodna saddexda kicin aanu khuseeyn, dhammee waddada la marsheeyay oo diiwaangeli afar gelitaan. Haddii mid khuseeyo, bastion ku hay xadkaas oo kaliya oo u dhaaf waddada endpoint-ka adeegyada aan u baahnayn fadhi hortooda.