Cilën IP burimore përdor një gateway NAT i AWS drejt një VPN?

Hapni konsolën VPC sepse një partner pyeti se cila gamë burimore do të vijë përmes VPN nga sajti në sajt. Faqja e gateway-ve NAT tregon një gateway publik me një Elastic IP të lidhur, dhe tundimi është ta dërgoni atë adresë dhe të vazhdoni. Është përgjigjja e saktë për rrugën e internetit dhe përgjigjja e gabuar për rrugën e VPN-së, dhe ndryshimi është se në cilin gateway tregon tabela e rrugëve. Kaloni rrugën përpara se të shkruani listën e adresave të lejuara.

Filloni nga faqja e gateway-ve NAT, jo nga lista e adresave të lejuara

Faqja e gateway-ve NAT ju tregon nënrrjetin, llojin dhe Elastic IP-në, dhe këto tre fusha mjaftojnë për të filluar. Ajo që nuk ju tregon është rruga që ndjek trafiku më pas. Kjo vjen nga tabelat e rrugëve të lidhura me nënrrjetin e gateway NAT.

Lexoni së pari llojin, sepse publik ose privat vendos nëse më vonë në zinxhir do të shfaqet një gateway interneti. Më pas lexoni nënrrjetin, sepse aty ndodhet rruga e dytë.

Ndiqni dy përkthimet

Si gateway-t NAT publike ashtu edhe ato private përkthejnë burimin privat IPv4 të ngarkesës në adresën private IPv4 të vetë gateway NAT. Ky përkthim i parë ndodh pavarësisht nga lloji. Përkthimi i dytë është ai që njerëzit harrojnë: një gateway NAT publik ia dorëzon trafikun gateway-t të internetit, i cili e harton adresën në Elastic IP-në e lidhur.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Në rrugën private nuk ka asnjë gateway interneti në zinxhir. Kur trafiku del përmes një gateway tranziti ose një gateway privat virtual, udhëzuesi i gateway-ve NAT dokumenton adresën private të gateway NAT si burimin që merr ana e largët. Është pikërisht kjo adresë që partneri duhet të lejojë, jo Elastic IP.

Rruga e VPN-së zakonisht tregon adresën private

Për një ngarkesë në 10.20.1.0/24 që arrin një prefiks të partnerit, tabela e rrugëve e nënrrjetit të ngarkesës tregon gateway-n NAT, dhe tabela e rrugëve e nënrrjetit të gateway NAT tregon rrugën e gateway-t privat. Të dy kërcimet kanë rëndësi, dhe vetëm i dyti vendos çfarë sheh partneri. Nëse nënrrjeti NAT nuk ka asnjë rrugë drejt rrugës së VPN-së, paketa nuk arrin kurrë, dhe ky është një dështim i ndryshëm nga një adresë burimore e gabuar.

Verifikoni atë rrugë të dytë përpara se të flisni fare për adresa. Një rrugë që mungon dhe një burim i raportuar gabimisht duken identike për një partner që thjesht nuk sheh trafik.

Kur një përkthim i dytë ndryshon përgjigjjen

AWS ofron gjithashtu një hartëzim NAT të qartë dhe përputhës një-me-një në një bashkëngjitje të gateway tranziti. Ky hartëzim mund ta përkthejë burimin edhe një herë përpara se shërbimi i largët ta shohë, dhe nuk është sjellja e paracaktuar që thjesht rrugëton. Meqenëse duhet konfiguruar me qëllim, trajtojeni si përjashtim projekti dhe jo si diçka që trashëgohet rastësisht. Nëse askush në ekipin tuaj nuk kujtohet ta ketë aktivizuar, supozoni se mungon derisa të lexoni bashkëngjitjen.

Nëse projekti juaj e përdor, lista e adresave të lejuara duhet të përshkruajë hartëzimin përfundimtar dhe jo adresën e gateway NAT. I njëjti kujdes vlen për rrugët e disponueshmërisë: kur marrin pjesë disa adresa gateway, grupi i pritur i burimeve është bashkimi, jo një adresë përfaqësuese. Shkruani se cilës përkthim i përket çdo adresë, sepse një listë pa origjinë është e pamundur të auditohet më vonë.

Një gateway NAT privat nuk mund të marrë shërbim interneti duke e drejtuar drejt një gateway interneti; AWS dokumenton se një trafik i tillë hidhet poshtë. Zgjidhni llojin nga rruga e plotë, jo nga fjala VPN në kërkesë.

Shkruani kontratën mbi të cilën partneri juaj mund të veprojë

Kontrata e përdorshme ka katër pjesë: drejtimi nga i cili nisin rrjedhat, identiteti i përkthyer që do të shohë partneri, rruga e kthimit për atë identitet dhe shtrirja e mbrojtjes që zbatohet. Rrjedhat e gateway NAT nisin nga ana e burimit e mbështetur, prandaj ky nuk është një shërbim përcjelljeje portash hyrëse për të ekspozuar një ngarkesë private. Ta thuash këtë me zë të lartë herët parandalon një rishikim projekti ku secila palë supozonte se pala tjetër kishte nisur.

Përkthimi blen lehtësim nga mbivendosja e adresave dhe një politikë burimore të parashikueshme, dhe ju kushton identitetin individual të ngarkesës në regjistrat e partnerit. Nëse auditimi kërkon atribuim për çdo ngarkesë, mbani atë identitet në shtresën e aplikacionit në vend që të përpiqeni ta rikuperoni nga një adresë burimore e përkthyer.

Më pas rikontrolloni të dyja tabelat e rrugëve pas çdo ndryshimi, sepse një bashkëngjitje e re ose një nënrrjet i rilidhur e rishkruan përgjigjjen në heshtje.