AWS Client VPN me tunel të ndarë: cilat rrugë duhet të publikoni

Konsola ofron një ndërprerës për tunelin e ndarë, kështu që vendimi duket si kuti kontrolli. Nuk është. Ajo që arrin vërtet te klienti është grupi i rrugëve të publikuara të pikës fundore, dhe kjo listë vendos cilat prefikse private përdorin tunelin, a mbetet trafiku i përgjithshëm i internetit lokal apo del përmes AWS, dhe me cilin resolver klienti mund të flasë ende. Tre pyetje zgjidhin dizajnin, dhe secilës mund t'i jepet përgjigje e dobët ndërsa lidhja prapëseprapë ka sukses.

Flamuri i tunelit të ndarë nuk është listë destinacionesh

AWS e përshkruan tunelin e ndarë si shtimin e rrugëve të pikës fundore në tabelën e rrugëve të klientit gjatë vendosjes së lidhjes. Një rrugë për VPC-në private e kufizon tunelin në atë destinacion; gjithçka tjetër ndjek rrugën e zakonshme të klientit. Rruga e paracaktuar është udhëzim tjetër me efekt tjetër, prandaj dokumentacioni i tunelit të ndarë paralajmëron kundër publikimit të 0.0.0.0/0 në një pikë fundore të konfiguruar për këtë modalitet: zakonisht e thyen lidhshmërinë në vend që ta zgjerojnë. Tabela e rrugëve e pikës fundore është politika, dhe tabela e rrugëve e klientit është rezultati që mund të inspektoni.

Lexoni tabelën e rrugëve të pikës fundore dhe rrugët e instaluara të klientit së bashku. Etiketa përshkruan një qëllim; rrugët përshkruajnë çfarë ndodh.

Vendimi i parë: a duhet të mbetet lokal trafiku i përgjithshëm i internetit?

Nëse shfletimi duhet të përdorë lidhjen e vetë përdoruesit, publikoni vetëm destinacionet private që i nevojiten punës dhe ndaloni atje. Mos shtoni një rrugë interneti sepse një tutorial për tunel të plotë përfshinte një, dhe mos supozoni se rruga shtesë përmirëson sigurinë. Ndryshon rrugën, nuk shton politikë dhe zakonisht kushton vonesë që nuk e kishit parashikuar.

Nëse trafiku i internetit duhet të dalë përmes AWS, ndërtoni arkitekturën e dokumentuar të aksesit në internet: rrugën e pikës fundore, rregullat e autorizimit, rrugën e nënrrjetit të lidhur, politikën e sigurisë dhe një dalje funksionale sipërore. Vetëm rruga e paracaktuar nuk ofron asnjë prej këtyre.

Vendimi i dytë: cilat prefikse private dhe me autorizimin e kujt?

Publikoni grupin më të vogël të destinacioneve që shërben ngarkesën reale, dhe verifikoni që çdo nënrrjet i lidhur mund të rrugëtojë drejt tyre. Objektivi i rrugës së pikës fundore dhe rrugëtimi VPC i nënrrjetit janë shtresa të ndryshme, dhe një rrugë që ekziston në njërën nuk është provë për tjetrën. Autorizimi është përsëri i veçantë: një destinacion mund të jetë i arritshëm dhe prapëseprapë i refuzuar sepse grupi i klientit nuk ka një rregull që e lejon.

Testimi i një sesioni të suksesshëm vërteton vetëm një rrugë. Kontrolloni çdo nënrrjet të lidhur, sepse një lidhje nënrrjeti e shtuar më vonë është pikërisht vendi ku zakonisht qëndron rruga që mungon.

Kur një destinacion duhet të jetë i arritshëm me emër, vini re se pyetja tjetër është zgjidhja e emrave, jo rruga.

Vendimi i tretë: cili resolver ndjek tunelin?

Një klient mund të marrë një server DNS të arritshëm vetëm përmes VPN-së, dhe ai resolver funksionon vetëm nëse adresa e tij është vetë brenda një rruge të autorizuar. Verifikoni të dyja gjysmat: adresa e resolverit ndjek një rrugë të publikuar, dhe serveri u përgjigjet emrave që kërkon aplikacioni. Një kërkesë që ka sukses sipas adresës por dështon sipas emrit të hostit tregon emërtimin, jo rrugëtimin, dhe korrigjimi i tunelit në atë rast humb pasditen.

Emrat publikë duhet të zgjidhen si përpara lidhjes, që është një arsye tjetër për të qenë të saktë për atë që publikoni.

Ndryshoni grupin e rrugëve, pastaj verifikoni të dyja botët

AWS dokumenton se ndryshimi i rrugëve në një pikë fundore të tunelit të ndarë rivendos lidhjet e klientëve. Planifikojeni ndryshimin me këtë në mendje: zbatojeni, rilidhuni përmes klientit të mbështetur dhe lexoni rrugët e instaluara nga e para në vend që të besoni gjendjen e zbatuar përpara redaktimit. Gjendja e zbatuar e vjetëruar është arsyeja më e zakonshme pse një ndryshim i saktë duket i prishur.

Pranojeni dizajnin vetëm kur një burim privat dhe një destinacion publik sillen siç është menduar, me emër dhe me adresë, në familjet e adresave që mbështesni vërtet. Një tunel që vërteton identitetin nuk është i njëjtë me një tunel që ndan saktë.

Shkruani listën e rrugëve në runbook pranë arsyetimit, që personi tjetër të dallojë një përjashtim të qëllimshëm nga një i harruar.