VGW ama TGW? Halka tunnelka IPsec ee AWS Site-to-Site ku dhammaado

Dadku waxay weydiiyaan halka AWS Site-to-Site VPN joojiyo ilaalinta baakadda waxayna filayaan hal jawaab: albaabka. Nooca faa'iidada leh ee jawaabtaas wuxuu magacaabaa albaabka, sababtoo ah albaab gaar ah oo macmal ah iyo albaab gudbin waa habab kala duwan oo leh shay xidh kala duwan, iyo dib-u-eegaha qaata kan qaldan wuxuu dhistaa inta kale ee qiimaynta sawir aan jirin. Samee saddexda baaritaan ee hoose si kala horreysa. Mid kastaa wuxuu xaqiijiyaa xadka ama wuxuu kuu sheegaa in jawaabtii hore ay ku saabsanayd kheyraad kale.

Magaca saddexda dhibic ee dhammaadka ka hor inta aanad wax qiimayn

Dib-u-eegista sir-gelinta wadadan waxay u baahan tahay saddex shay oo la magacaabay: albaabka macmiilka, bartilmaameedka AWS VPN ee dhammeeya IPsec, iyo dhibicda dhammaadka ee barnaamijka ee hela baakadda gudaha. Ku qor iyaga oo wata aqoonsigooda kheyraadka ka hor inta aanad furin hal bog oo console ah, sababtoo ah wax kasta oo ka dambeeya bartaas waa hadal ku saabsan mid ka mid ah saddexdaas.

Albaabka macmiilka adigaa iska leh oo habayntiisa waad arki kartaa. Bartilmaameedka AWS waa kheyraad la maamulo, khaladkuna waa in la qaato: xiriirka VPN wuxuu ku xidhmi karaa albaab gaar ah oo macmal ah ama si toos ah albaab gudbin, midkoodna ma tilmaamo kan kale. Dhibicda dhammaadka ee saddexaad waa tan dadku seegaan, waana tan keliya ee ka jawaabta su'aasha dhabta ah ee xogta barnaamijka.

Baaritaan 1: albaabkee ayaa dhab ahaan dhammeeya tunnelka

Labada habba waa la taageeraa oo hagaha dhismaha Site-to-Site VPN wuxuu ku sifeeyaa iyaga dhinac, sidaas darteed weydii API halkii sawir oo inta badan sannad jir ah. Weydiinta akhris-kaliya ee hal xiriir waxay soo celisaa goobaha bartilmaameedka VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Kala-soocaha waa TransitGatewayId, ma aha VpnGatewayId. Xiriirka TransitGatewayId madhan wuxuu ku dhammaadaa albaab gaar ah oo macmal ah oo madax-bannaan, halka xiriirka goobtaas lagu dhigay uu ku dhammaado xidhka VPN ee albaabka gudbinta, oo VpnGatewayId weli wuu buuxnaan karaa xaaladdaas sababtoo ah wuxuu magacaabi karaa albaabka taageera xidhka. Marka hore akhri goobta TGW, ka dibna xaqiiji nooca xidhka liiska xidhka halkii aad ka qaadan lahayd magaca goobta, sababtoo ah xidhka VPC ee albaabkaas gudbinta ma aha xidhka VPN. Helitaanka instance-ka loo socdo ee VPC ku xiran wax kama sheegto xidhkee VPN ee qaaday baakadda.

Inta aad halkaas joogto, hubi tunnelada. Xiriirku wuxuu qaadaa laba tunnel oo IPsec si xad-dhaaf ah, xiriirka tunnelkiisa labaad uusan waligiis kicin waa natiijo dhab ah oo ku saabsan helitaanka inkastoo aanu wax ka beddelin xadka sir-gelinta:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Baaritaan 2: waxa baakadda gudaha weli qaado

Marka IPsec dhammaado, AWS waxay u gudbisaa baakadda la furmay wadada u dhigantay. Bartaas ka dib taraafikadu waa taraafikada VPC caadiga ah, oo ilaalinta VPN way dhammaatay. Tani ma aha god ku jira adeegga; tani waa macnaha xadka, oo qodobka liiska hubinta waa in si cad loo sheego halkii loo ogolaan lahaa "VPN-ka waa sir-gelan" inuu meesha "xogta waa sir-gelan min dhammaad ilaa dhammaad" galo.

Hadda baadh waxa gudaha ku jiray. Haddii baakadda gudaha ay tahay borotokool barnaamij oo qoraal cad ah, waxba hoos kama sii daro qarsoodnimo ilaa wax kale uu sir-geliyo. Haddii baakadda gudaha ay horey u qaaddo fadhi TLS, ka-qaadista IPsec dibadda waxba kama beddelo fadhigaas: wuu ilaalinayaa ilaa dhibicdiisa dhammaadka, meel kasta oo dhibicdaas dhammaadka ahayd.

Sixitaanka xad-dhaafka ah ee caadiga ah waa in la gunaanado in wax kasta oo ka dambeeya albaabka ay bannaan yihiin. Sidaas ma aha. Gaadiidka adeegga, sir-gelinta kaydka iyo TLS barnaamijka waa habab kala duwan oo leh shuruudo kala duwan, oo mid kastaa waa in lagu qiimeeyaa shuruudiisa halkii laga soo qaadan lahaa qaabka VPN. Diiwaanka log-ga qulqulka ee muujinaya ACCEPT wuxuu caddeeyaa in marin-u-jiidku shaqeeyay oo wax kama sheegto qarsoodnimada, taas oo si sax ah u tahay khaladka liiskan hubinta loo sameeyay inuu ka hortago.

Baaritaan 3: waxa TLS ku dhammeeya albaabka gadaashiisa

Raac dhageystaha, ma aha cinwaanka. Haddii isku-dheellitirka culeyska ama wakiilku dhammeeyo TLS, xiriirka macmiilkaagu hayo wuxuu ku dhammaadaa halkaas, wakiilkuna wuxuu u furaa xiriir labaad backend-ka oo noqon kara qoraal cad ama TLS oo leh silsilad kalsooni kale. Cinwaan IP gaar ah iyo waddo u dhiganta ma aha caddayn ku saabsan xiriirkaas labaad.

Tijaabi dhibicda dhammaadka ee run ahaantii kuu muhiim ah gudaha VPC, magaca barnaamijku isticmaalo halkii IP aad hal mar xalliso:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Ku celi tan bood kasta oo codsigu maro. Haddii jawaabtu ku kala duwan tahay magaca macmiilka u jeedda iyo magaca backend-ka, waxaad heshay isla qaybtaas oo VPN uusan waligiis daboolin, waana natiijadaas in la qoro.

Natiijada u qor qaybo ahaan, ma aha xukun ahaan

Soo-saarka liiskan hubinta waa shax yar oo leh hal saf qayb kasta: albaabka macmiilka ilaa bartilmaameedka AWS VPN, albaabka ilaa culayska shaqada, culayska shaqada ilaa kaydka xogta, iyo bood kasta oo wakiil ah oo dhexdooda ah. Saf kastaa wuxuu sheegaa waxa ka ilaaliya iyo waxa ilaalintaas ku tiirsan tahay. "Sir-gelan" oo aan hab iyo dhibic dhammaad lahayn ma aha saf.

Ka dib ka jawaab shuruudda asalka ah isla ereyada lagu weyddiiyay. Haddii shuruuddu tahay in xogtu qarsoodi ahaato ilaa culayska shaqadu helo, VPN waxay buuxisaa qaybta koowaad oo keliya, safafka hadhayna waxay u baahan yihiin gaadiidka barnaamijka, TLS adeegga ama sir-gelinta kaydka oo si gooni ah loo habeeyay oo loo xaqiijiyay.

Kaydi aqoonsiga xiriirka, xaaladaha tunnelada iyo mawduucyada shahaadada diiwaanka. Marka qof uu dib ugu soo laabto naqshadda lix bilood ka dib, saddexdaas qalab ayaa daqiiqado gudahood ka jawaabaya su'aasha xadka halkii ay doodda sawirka ka dibna dib u bilaabi lahaayeen.