EC2 në zonat e disponueshmërisë: kontrolloni rrugëtimin para një VPN

Përpara se të instaloni softuer VPN midis dy instancave EC2, përgjigjuni një pyetjeje: a janë në të njëjtin VPC? Nëse janë, rruga private ekziston tashmë dhe vendosja në zona të ndryshme nuk e ndryshon këtë. Pjesa më e madhe e punës në këtë situatë është të konfirmoni cilën tabelë rrugëtimi përdor në të vërtetë secili nënrrjet dhe më pas të zbuloni nëse dështimi ishte ndonjëherë problem rrugëtimi. Një tunel është zakonisht përgjigja e gabuar për këtë pyetje specifike.

Kontrolli 1: i njëjti VPC ose VPC të ndryshme

Një VPC është rajonal dhe përfshin zonat e disponueshmërisë, ndërsa secili nënrrjet i përket saktësisht një zone. Dy instanca në zona të ndryshme të një VPC janë ende brenda të njëjtit domen të rrugëtimit privat.

VPC të ndryshme nuk marrin kurrë një rrugë private vetëm sepse ndajnë një rajon ose një etiketë zone. Ai rast kërkon një lidhje të mbështetur dhe punë të vetën për rrugët dhe lejet, që është një vendim i veçantë.

Kontrolli 2: çfarë thonë tabelat e rrugëtimit të nënrrjeteve

Shkruani planin me vlera reale. Një VPC në 10.60.0.0/16 me nënrrjeta 10.60.1.0/24 dhe 10.60.2.0/24 u jep instancave 10.60.1.10 dhe 10.60.2.20 një rrugë përmes rrugës lokale të VPC-së.

Më pas ekzaminoni tabelat e lidhura me të dy nënrrjetet, jo vetëm atë që gjetët i pari. Një rrugë inspektimi ose pajisjeje më specifike mund të anashkalojë rrugën bazë, dhe objektivi i rrugës lokale mund të zëvendësohet vetë në konfigurime më të reja. Një rrugë lokale e dukshme diku në konsolë nuk provon që të dy ngarkesat e punës e përdorin atë.

Përdorni adresat dhe emrat privatë që VPC cakton në të vërtetë. Një adresë private nuk duhet të fillojë me 10, dhe shpikja e njërës nga kujtesa është mënyra se si një mjedis që funksionon diagnostikohet gabimisht.

Kontrolli 3: rrugëtim apo autorizim

Rrugëtimi e çon paketën vetëm deri te ndërfaqja e rrjetit të objektivit. Grupi i sigurisë i objektivit duhet ende të pranojë burimin dhe shërbimin, rregullat e daljes të burimit duhet të lejojnë kërkesën, dhe çdo ACL rrjeti duhet të lejojë të dy drejtimet sepse ACL-të nuk mbajnë gjendje.

Pas kësaj qëndrojnë muri i zjarrit i mysafirit, lidhja e dëgjuesit dhe identiteti i vetë aplikacionit. Secili prej tyre mund të refuzojë një kërkesë që rrugëtimi e dorëzoi në mënyrë të përsosur.

Pranimi duhet të jetë operacioni real i aplikacionit. Një ping i suksesshëm nuk jep akses në aplikacion dhe nuk provon që emri TLS dhe kredencialet janë të sakta, dhe një ping i bllokuar nuk vërteton që çdo shërbim privat është jashtë funksionit.

Kontrolli 4: a kërkohet vërtet një lidhje e veçantë

Një VPN mund të jetë ende pjesë e projektimit, por për një arsye të deklaruar: lidhja e këtij VPC me një zyrë, pranimi i laptopëve ose plotësimi i një kërkese shtrese mbivendosjeje. Ajo arsye ndryshon nga komunikimi i zakonshëm brenda të njëjtit VPC.

Mbani mend gjithashtu çfarë nuk është VPC. Nuk është një zgjatim i një segmenti Ethernet shtëpiak. Një aplikacion që varet nga zbulimi me transmetim ka një kërkesë të veçantë për t'u vlerësuar. Kjo është një boshllëk projektimi, jo një gabim rrugëtimi.

Kontrolli 5: pyetja e kriptimit

Një adresë private dhe një rregull leje nuk thonë asgjë për mbrojtjen kriptografike në shtresën e aplikacionit. Nëse të dhënat kanë nevojë për mbrojtje nga skaji në skaj, ajo vjen nga protokolli dhe modeli i identitetit që shërbimi mbështet në të vërtetë.

Mbani të ndara pretendimet për shtresën e rrjetit dhe shtresën e aplikacionit në shënimin e projektimit, sepse bashkimi i tyre është mënyra se si një rishikim përfundon duke pohuar një mbrojtje që askush nuk e zbatoi.

Çfarë duhet regjistruar

Regjistroni të dy identifikuesit e nënrrjetit, tabelën e rrugëtimit të lidhur me secilin, referencat e grupeve të sigurisë dhe operacionin e aplikacionit që testuat. Këto janë katër fakte, dhe ato zgjidhin shumicën e debateve të ardhshme për këtë rrugë.

Vendosja në një zonë e vetme nuk ju thotë kurrë të shtoni një VPN, dhe nuk shpjegon kurrë pse një kërkesë private dështoi.