Përse EC2 nuk arrin te laptopi juaj me AWS Client VPN
Client VPN përkthen burimet IPv4 të klientit në ndërfaqen e rrjetit të pikës fundore. Prandaj përgjigjja funksionon dhe një lidhje e re nga EC2 jo.
Një laptop i lidhur përmes AWS Client VPN arrin një aplikacion EC2 pa asnjë problem. Pastaj provoni të kundërtën, nga EC2 te adresa që iu caktua klientit, dhe lidhja ngec ose refuzohet. Kjo asimetri rrallë është një rregull i munguar i grupit të sigurisë. Në një pikë fundore Client VPN të lidhur me nën-rrjeta VPC, AWS përkthen burimet IPv4 të klientit në ndërfaqen e rrjetit të pikës fundore, kështu që nuk ekziston një adresë VPC hyrëse që përfaqëson laptopin tuaj.
Filloni nga ajo që tregon kapja
Bëni një kapje në hostin EC2 ndërsa klienti lidhet dhe lexoni adresën e burimit që aplikacioni sheh në të vërtetë. Nëse është ndërfaqja e pikës fundore në anën e VPC dhe jo një adresë nga pishina e klientëve, përkthimi është vërtetuar përpara se të ndryshoni një rregull të vetëm.
Pishina e klientëve është një interval caktimi, jo një nën-rrjet me rrugë kthimi. Pikërisht në këtë dallim gabojnë shumica e hetimeve të tilla.
Përkthimi që shpjegon asimetrinë
Tre rrjedha ngatërrohen me njëra-tjetrën, dhe vetëm njëra prej tyre është ajo që njerëzit testojnë.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Përshkrimi i komponentëve të Client VPN thotë qartë se burimet IPv4 të klientit përkthehen në ndërfaqen e pikës fundore, dhe kjo mjafton për të parë përse rreshti i mesëm nuk ka me çfarë të përputhet.
Një lidhje e re kërkon një rrugë, një hap zgjidhjeje adrese dhe një vendim autorizimi. Gjendja e përkthimit nga sesioni i dikujt tjetër nuk ofron asnjërën nga të treja.
Përse një përgjigje nuk është lidhje e re
Një përgjigje TCP përputhet me një zë ekzistues, prandaj rruga e kthimit funksionon pa asnjë rregull hyrës. Një SYN i freskët nga hosti EC2 nuk ka zë për t'u përputhur, kështu që bëhet një përpjekje dalëse e zakonshme drejt një destinacioni që VPC nuk di si ta arrijë.
Prandaj është gjithashtu mashtruese ta përshkruash këtë si trafik që shkon vetëm në një drejtim. Trafiku i kthimit rrjedh vazhdimisht në këto sesione. Pjesa pa rrugë është fillimi.
Çfarë vazhdon të thyejë një sesion që duhet të funksionojë
Grupet e sigurisë, ACL-të e rrjetit dhe vetë firewalle-i i laptopit kanë të gjitha rëndësi për lidhjet që duhet të kenë sukses. Një ping i dështuar thotë më së paku, sepse politika ICMP shpesh është e ndarë nga politika TCP që ju intereson.
Shkruajini ato rregulla sipas burimit të përkthyer, jo sipas adresës së klientit. Rregullat e lidhura me adresën që nuk shfaqet kurrë në rrjet janë dështimi më i zakonshëm i vetëshkaktuar në këtë dizajn.
Kur VPC vërtet duhet ta nisë bisedën
Nëse një shërbim duhet të njoftojë një stacion pune, përmbysni drejtimin dhe lërini klientit të mbajë një kanal dalës të përhershëm të cilin shërbimi i përgjigjet. Nëse një rrjet i tërë në distancë duhet të jetë i arritshëm nga VPC, zgjidhni një arkitekturë që publikon prefikset dhe politikën e saj të aksesit në vend që të supozoni se Client VPN e bën tashmë. Aksesi klient-klient është rasti i tretë, më i ngushtë, me objektet e veta të rrugës dhe autorizimit. Asnjë prej tyre nuk është thjesht një kuti pikëzimi në pikën fundore ekzistuese.
Mbani të ndershëm edhe shtrirjen e shpjegimit të IPv4. Dokumentacioni aktual i AWS ndan IPv6, ku ai përkthim nuk zbatohet, dhe modele të tjera lidhjeje që rrugëtojnë ndryshe.
Testojeni në tre hapa të etiketuar: klienti hap një sesion të lejuar, shërbimi në VPC i përgjigjet atij sesioni dhe një host i VPC hap një sesion të re drejt klientit. Që dy të parët kanë sukses ndërsa i treti dështon është forma e pritur e këtij dizajni, jo një difekt që duhet ndjekur me rregulla firewalle-i.