Kontrolli i burimit/destinacionit është një portë, jo e gjithë rruga VPN
Një instancë përcjellëse ka nevojë për leje AWS, si dhe rrugë Linux dhe rregulla muri zjarri. Kontrolloni vlefshmërinë e burimit/destinacionit në instancën që përcjell.
VPN përfundon në një instancë EC2, ju mund të arrini adresën e tunelit të asaj instance, dhe trafiku që duhej të kalonte përmes saj drejt një hosti tjetër privat zhduket. Këto janë dy teste të ndryshme, dhe përzierja e tyre humb orë. I pari pyet nëse mund të arrini instancën; i dyti kërkon që ajo të përcjellë trafik për një destinacion që nuk është i veti, gjë që kërkon përcjellje në Linux, një politikë muri zjarri, një rrugë në anën e largët dhe një leje në nivel AWS që nuk ka asnjë lidhje me sistemin operativ të ftuar. Asgjë në konsolë nuk tërheq vëmendjen për këtë ndryshim. Simptoma duket si defekt rrugëtimi, dhe zakonisht nuk është.
Ndani dy testet përpara se të ndryshoni ndonjë gjë
Arritja e portës provon tunelin, rrugën drejt adresës së tij dhe grupin e sigurisë që lejon shkëmbimin. Përcjellja për një host tjetër nuk provon asgjë nga këto: përdor një adresë burimi tjetër, një destinacion tjetër dhe një instancë në një rol për të cilin nuk është ndërtuar domosdoshmërisht. Shkruani dy testet veçmas dhe shënoni cili dështon, sepse korrigjimi për secilin ndodhet në një konsolë tjetër. Një instancë porte e ndërtuar vetëm për të përfunduar tunele nuk ka asnjë arsye të përcjellë për diçka tjetër, dhe vlerat e parazgjedhura e pasqyrojnë këtë. Prandaj testi i dytë kërkon konfigurimin e vet, jo një rregullim të vogël në të parin.
Një ping që funksionon drejt portës dhe një ping që dështon drejt hostit përtej saj nuk është problem i ndërprerë. Është sjellja e pritur e një instance që nuk i është thënë se mund të përcjellë.
Shkruani rrugën përpara se të prekni një cilësim
Regjistroni prefiksin e klientit, instancën ose ndërfaqen e rrjetit përcjellëse, nënrrjetin e synuar dhe rrugën e përgjigjes. Një zë në tabelën e rrugëve VPC që tregon një instancë nuk konfiguron sistemin operativ të instancës për përcjellje, dhe një bërthamë e ftuar me përcjelljen e aktivizuar nuk krijon një rrugë VPC. Të dy skajet e këtij raporti duhet të ekzistojnë, dhe ato redaktohen në vende të ndryshme nga njerëz me akses të ndryshëm.
Pastaj shqyrtoni cilësimin e kontrollit të burimit/destinacionit në komponentin real të përcjelljes, jo në çdo instancë në VPC. AWS dokumenton pse një instancë që përcjell trafik për të tjerët duhet ta ketë atë kontroll të çaktivizuar, dhe gjithashtu pse cilësimi është vendim për çdo instancë dhe jo një vlerë e parazgjedhur për të gjithë VPC-në.
Katër kufij, dhe kontrolli është vetëm një prej tyre
Trajtoni rrugën si katër pyetje dhe përgjigjuni sipas radhës. Përgjigja e parë që dështon është vendi ku është puna, dhe asnjë prej të tjerave nuk do ta kompensojë.
| Boundary | Question it answers |
|---|---|
| VPC route tables | Do the destinations and replies select the intended gateway? |
| Forwarding instance | Do the AWS check and the guest OS both permit forwarding? |
| Access policy | Do security groups, ACLs and host rules allow the exchange? |
| Destination | Can the service accept that source and return a reply? |
Rradha ka rëndësi sepse kontrolli është i lirë: rrugët duken në një faqe, kontrolli është një atribut i vetëm, dhe mendimi i destinacionit është zakonisht gjëja e fundit që dikush pyet.
Përkthimi ndryshon cilën burim sheh destinacioni
Një dizajn me rrugëtim ruan adresën e burimit të klientit, prandaj destinacioni ka nevojë për një rrugë kthimi drejt prefiksit të klientit. Një dizajn i përkthyer paraqet në vend të kësaj adresën e portës, gjë që e heq atë kërkesë dhe e zëvendëson me një tabelë gjendjesh në portë. Vendosni sipas arkitekturës që synoni, në vend që të shtoni përkthim sepse një shembull i palidhur e përdori dhe dukej se funksiononte.
Nëse përktheni, kufizoni rregullin në prefiksin e klientit dhe destinacionin e synuar. Nëse ruani, konfirmoni se ana e largët e njeh vërtet rrugën, në vend që të supozoni se do të mësojë një.
Testoni nga klienti origjinal, pastaj mbajeni ndryshimin
Një kërkesë e krijuar në portë mund të ketë sukses ndërsa një kërkesë e përcjellë dështon, sepse është burim tjetër dhe rast tjetër përcjelljeje. Pas një korrigjimi të synuar, përsëritni testin e saktë klient-në-burim që dështoi, nga i njëjti klient, dhe konfirmoni se përgjigja kthehet dhe jo vetëm se kërkesa arriti.
Më në fund, vendosni cilësimin në konfigurimin e menaxhuar të portës në mënyrë që një instancë zëvendësuese ta marrë atë. Një test i suksesshëm që varet nga një përjashtim manual është një test që skadon në rindërtimin e radhës, dhe personi që e zbuloi nuk do të jetë atje për të kujtuar pse.