VGW apo TGW? Ku përfundon tuneli IPsec i AWS Site-to-Site

Njerëzit pyesin ku një VPN Site-to-Site e AWS ndalon së mbrojturi paketën dhe presin një përgjigje të vetme: te porta. Versioni i dobishëm i asaj përgjigjeje emërton cilën portë, sepse një portë private virtuale dhe një portë transit janë rregullime të ndryshme me objekte bashkëngjitjeje të ndryshme, dhe rishikuesi që supozon të gabuarën ndërton pjesën tjetër të vlerësimit mbi një diagram që nuk ekziston. Kryeni tre kontrollet më poshtë me radhë. Secila ose konfirmon kufirin ose ju thotë se përgjigjja e mëparshme kishte të bënte me një burim tjetër.

Emërtoni tre pikat fundore përpara se të vlerësoni çdo gjë

Një rishikim i kriptimit të kësaj rruge kërkon tre gjëra të emërtuara: portën e klientit, objektivin AWS VPN që përfundon IPsec-in dhe pikën fundore të aplikacionit që pranon paketën e brendshme. Shkruajini ato me identifikuesit e burimit përpara se të hapni një faqe të vetme konsol, sepse gjithçka pas kësaj pike është një pohim për njërën prej atyre tre.

Porta e klientit është e juaja dhe konfigurimi i saj është i dukshëm për ju. Objektivi AWS është një burim i menaxhuar, dhe gabimi është ta supozosh: një lidhje VPN mund të bashkëngjitet te një portë private virtuale ose drejtpërdrejt te një portë transit, dhe asnjëra nuk nënkupton tjetrën. Pika e tretë fundore është ajo që njerëzit e kapërcejnë, dhe është e vetmja që përgjigjet pyetjes reale për të dhënat e aplikacionit.

Kontrolli 1: cila portë e përfundon tunelin në të vërtetë

Të dyja rregullimet mbështeten dhe udhëzuesi i arkitekturës së Site-to-Site VPN i përshkruan ato krah për krah, ndaj pyesni API-në në vend të një diagrami që shpesh është një vit i vjetër. Një kërkesë vetëm-lexim mbi një lidhje kthen fushat e objektivit VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Dalluesi është TransitGatewayId, jo VpnGatewayId. Një lidhje me TransitGatewayId bosh përfundon te një portë private virtuale e pavarur, ndërsa një lidhje me atë fushë të caktuar përfundon te një bashkëngjitje VPN e portës transit, dhe VpnGatewayId mund të jetë ende i plotësuar në atë rast sepse mund të emërtojë portën mbështetëse të bashkëngjitjes. Lexoni së pari fushën TGW, pastaj konfirmoni llojin e bashkëngjitjes nga lista e bashkëngjitjeve dhe jo nga emri i një fushe, sepse një bashkëngjitje VPC në atë portë transit nuk është bashkëngjitja VPN. Gjetja e instancës së destinacionit në një VPC të lidhur nuk ju thotë asgjë për atë se cila bashkëngjitje VPN e transportoi paketën.

Ndërsa jeni atje, kontrolloni tunelët. Lidhja mban dy tunelë IPsec për tepricë, dhe një lidhje tuneli i dytë i së cilës nuk është ngritur kurrë është një gjetje e vërtetë për disponueshmërinë, edhe pse nuk ndryshon asgjë në kufirin e kriptimit:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Kontrolli 2: çfarë mban ende paketa e brendshme

Pasi IPsec përfundon, AWS përcjell paketën e dekapsuluar nëpër rrugën që i përputhej. Nga ajo pikë trafiku është trafik normal VPC, dhe mbrojtja e VPN-së ka mbaruar. Ky nuk është një boshllëk në shërbim; ky është kuptimi i kufirit, dhe pika e listës së kontrollit është ta thuash qartë në vend që të lësh "VPN-ja është e kriptuar" të zërë vendin e "të dhënat janë të kriptuara nga fillimi në fund".

Tani shqyrtoni çfarë ishte brenda. Nëse paketa e brendshme është një protokoll aplikacioni në tekst të thjeshtë, asgjë në rrjedhën e poshtme nuk shton konfidencialitet derisa diçka tjetër ta kriptojë. Nëse paketa e brendshme mban tashmë një sesion TLS, heqja e IPsec-it të jashtëm nuk ndryshon asgjë për atë sesion: ai mbetet i mbrojtur deri në pikën e vet fundore, kudo që të jetë ajo pikë.

Korrigjimi i tepërt i zakonshëm është të përfundosh se gjithçka pas portës është e ekspozuar. Nuk është. Transporti i shërbimit, kriptimi i ruajtjes dhe TLS i aplikacionit janë mekanizma të veçantë me kushte të veçanta, dhe secili duhet vlerësuar sipas kushteve të veta dhe jo nxirret nga forma e VPN-së. Një regjistrim i logut të rrjedhës që tregon ACCEPT provon se rrugëtimi funksionoi dhe nuk thotë asgjë për konfidencialitetin, që është pikërisht gabimi që kjo listë ekziston për të parandaluar.

Kontrolli 3: çfarë e përfundon TLS-in pas portës

Ndiqni dëgjuesin, jo adresën. Nëse një balancues ngarkese ose një proxy e përfundon TLS-in, lidhja që mban klienti juaj mbaron atje, dhe proxy-ja hap një lidhje të dytë drejt backend-it që mund të jetë tekst i thjeshtë ose TLS me një zinxhir tjetër besimi. Një adresë IP private dhe një rrugë që përputhet nuk janë provë për atë lidhje të dytë.

Testoni pikën fundore që ju intereson vërtet nga brenda VPC-së, me emrin që përdor aplikacioni dhe jo me një IP që e zgjidhët një herë:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Përsëriteni për çdo hap nëpër të cilin kalon kërkesa. Nëse përgjigjja ndryshon midis emrit të kthyer nga klienti dhe emrit të backend-it, keni gjetur pikërisht segmentin që VPN-ja nuk e mbuloi kurrë, dhe ai është gjetja që duhet shkruar.

Regjistroni rezultatin si segmente, jo si verdikt

Rezultati i kësaj liste është një tabelë e vogël me një rresht për çdo segment: porta e klientit te objektivi AWS VPN, porta te ngarkesa e punës, ngarkesa e punës te magazina e të dhënave dhe çdo hap proxy në mes. Çdo rresht thotë çfarë e mbron dhe nga se varet ajo mbrojtje. "E kriptuar" pa mekanizëm dhe pa pikë fundore nuk është rresht.

Pastaj përgjigjuni kërkesës origjinale me të njëjtat terma me të cilat u shtrua. Nëse kërkesa është që të dhënat të mbeten konfidenciale derisa ngarkesa e punës t'i marrë ato, VPN-ja plotëson vetëm segmentin e parë, dhe rreshtat e mbetur kanë nevojë për transportin e aplikacionit, TLS të shërbimit ose kriptimin e ruajtjes të konfiguruar dhe verifikuar veçmas.

Ruani identifikuesit e lidhjeve, gjendjet e tunelëve dhe subjektet e certifikatave në regjistër. Kur dikush kthehet te dizajni pas gjashtë muajsh, ata tre artefakte përgjigjen pyetjes së kufirit brenda minutash në vend që të rifillojnë debatin nga një diagram.