Një Elastic IP e EC2 nuk është adresa private VPN e instancës

Instanca ka një adresë private, Elastic IP është e lidhur me të, dhe një rrugë për atë /32 publike i shtohet VPN-së me shpresën se të dyja do të bëhen e njëjta gjë. Nuk bëhen. Elastic IP është një përkthim që kryhet jashtë mikpritësit, nga porta e internetit, mbi trafikun që ndjek rrugën e internetit. Sistemi operativ i mikpritësit nuk e sheh kurrë atë adresë të konfiguruar në një ndërfaqe. Shtimi i saj në një ndërfaqe tuneli nuk e riprodhon përkthimin e mësipërm dhe krijon një identitet të dytë, kontradiktor, për të njëjtën makinë.

Dy adresa, një instancë

Ndërfaqja e rrjetit e instancës mban një adresë private brenda VPC-së, dhe kjo është adresa që njeh mikpritësi. Elastic IP është e lidhur me të njëjtën ndërfaqe, por jeton në anën publike të hartëzimit.

Çdo gjë që arrin instancën përmes internetit vjen e përkthyer në adresën private. Çdo gjë që instanca dërgon në internet del me Elastic IP si burim, përsëri për shkak të atij përkthimi.

Brenda mikpritësit ekziston një adresë. Jashtë ekzistojnë dy. Kjo asimetri shpjegon pjesën më të madhe të konfuzionit në këtë fushë. Mikpritësi nuk mund të konfigurojë çfarë përkthen porta. Ai mund të përgjigjet vetëm në adresën që ka vërtet.

Çfarë bën vërtet porta e internetit

Dokumentacioni i AWS për portën e internetit përshkruan rregullimin: instanca është e vetëdijshme për adresën e saj private IPv4, dhe porta siguron përkthimin përkatës në IPv4 publike ose Elastic IP për trafikun në rrugën e internetit.

Ky është përkthim i adresave të rrjetit, jo një pseudonim. Hartëzimi mbahet nga porta, është i lidhur me shoqërimin dhe vlen vetëm për paketat që kalojnë nëpër të. Hiqni shoqërimin dhe identiteti publik zhduket pa e vënë re mikpritësi.

Për këtë arsye një paketë private VPN e adresuar drejt /32 publike nuk riinterpretohet si paketë private drejt adresës lokale të mikpritësit. Paketa ndjek rrugën me të cilën përputhet, e cila e dërgon atë te porta e internetit, dhe sjellja e portës varet nga fakti nëse rruga lejohet në të dy drejtimet.

Pse dështon truku i ndërfaqes së tunelit

Caktimi i Elastic IP në një ndërfaqe tuneli kërkon nga mikpritësi ta trajtojë një adresë publike si lokale. Tani dy gjëra pretendojnë të njëjtën adresë: përkthimi i portës në rrugën e internetit dhe ndërfaqja lokale brenda tunelit. Trafiku i kthimit nuk ka një përgjigje të qëndrueshme se cila vlen.

Edhe kur duket se funksionon, dizajni e ka fshehur pyetjen e vërtetë. Klientët ose arrijnë adresën private përmes tunelit ose arrijnë pikën finale publike përmes internetit, dhe të dy rrugët kanë grupe sigurie të ndryshme, regjistrim të ndryshëm dhe mënyra të ndryshme dështimi.

Adresa nuk ishte kurrë problemi. Zgjedhja e rrugës ishte.

Tre qëllime, tre dizajne

Nëse qëllimi është një pikë finale VPN publike, Elastic IP është mjeti i duhur: partnerët e largët lidhen me të përmes internetit dhe transporti i enkriptuar përfundon në instancë. Trafiku i brendshëm i aplikacionit përdor pastaj adresën private.

Nëse qëllimi është aksesi privat në aplikacion, destinacioni është adresa private ose një emër DNS privat që zgjidhet në të, dhe rruga e VPN-së, grupi i sigurisë dhe rruga e kthimit duhet të pajtohen të gjitha. Elastic IP nuk shfaqet fare në atë dizajn.

Nëse qëllimi është një identitet dalës publik i qëndrueshëm për përdoruesit e VPN-së, ky është një dizajn NAT në anën e daljes, jo një adresë në tunelin e klientit. Tre qëllime që tingëllojnë njësoj prodhojnë tre diagrame të ndryshme, dhe vetëm njëri prej tyre përfshin vendosjen e një Elastic IP në një vend të ri.

Verifikoni rrugën që zgjodhët

Për akses privat, konfirmoni se rruga e VPN-së mbulon prefiksin privat, se tabela e rrugëve e VPC-së e kthen trafikun në tunel, se grupi i sigurisë lejon burimin e klientit dhe se muri i zjarrit i klientit lejon përgjigjen. Pastaj provoni një kërkesë reale në vend të ping.

Për akses publik, konfirmoni daljen në internet të klientit, rrugëtimin e hyrjes publike dhe politikën e sigurisë së saj. Nëse një klient VPN mund të arrijë një pikë finale publike përmes tunelit varet nga rregullat e daljes dhe muri i zjarrit të tunelit, jo nga shoqërimi i Elastic IP.

Nëse një emër pritësi publik duhet të funksionojë nga të dyja anët, përdorni një dizajn DNS që përgjigjet me adresën private për klientët VPN dhe me adresën publike për të gjithë të tjerët, dhe mbajeni certifikatën të vlefshme për emrin, jo për adresën. Rendi i punës: emërtoni qëllimin, zgjidhni adresën që i përket, pastaj verifikoni rrugët, politikën dhe një kërkesë.