LAN nyuma ya kikao kimoja cha AWS Client VPN: nini husambazwa

Kompyuta ndogo inaunganisha na kituo cha mwisho cha AWS Client VPN, inafikia subnet ya faragha, na kila kitu kinaonekana kizuri. Kompyuta ya mezani kwenye LAN hiyo hiyo haifikii chochote, ingawa mwenyeji wa Linux pia ana kiolesura cha daraja na mashine zote mbili ziko kwenye waya mmoja. Hakuna kitu kilichowekwa vibaya kwenye handaki; sehemu inayokosekana ni uelekezaji, na daraja ni dalili ya uongo.

Kupanua kikao cha Client VPN hadi LAN ni jukumu la lango. Sio sehemu ya Ethernet iliyovutwa ndani ya huduma inayosimamiwa.

Mwenyeji anafanya kazi na LAN haifanyi

Kiolesura cha handaki kwenye mashine ya Linux kina anwani ndani ya CIDR ya mteja wa Client VPN, na kituo cha mwisho kimesukuma njia za masafa ya VPC. Ombi linalofanywa kwenye mashine hiyo ni trafiki iliyozalishwa ndani: inachagua njia, inatoka kupitia handaki na kupata jibu. Njia hiyo kamwe haiathiri msimbo wa usambazaji, kiolesura cha LAN au sheria yoyote ya ngome inayosimamia upitishaji.

Trafiki kutoka kifaa kingine cha LAN ni mtiririko tofauti. Inafika kwenye kiolesura cha LAN, inahitaji njia inayoelekeza kwenye handaki, inahitaji usambazaji umewashwa, inahitaji ngome inayoiruhusu, na inahitaji jibu litakalo rudi kupitia mwenyeji huyo huyo. Masharti manne, na jaribio la kompyuta ndogo linalofanya kazi halithibitishi hata moja. Kutoka mezani hitilafu inaonekana ya ajabu: handaki liko juu, vitambulisho ni halali, na mahali panapokwenda hakijibu kamwe. Kasoro ni ya ndani kwenye njia ya usambazaji ya lango, sio kwenye huduma.

Sio kila mteja anaweza kuwa lango

AWS inasema kuwa programu yake ya mezani ya Client VPN haiunga mkono usambazaji wa IP, na wateja wengine wanaweza. Kizuizi hicho kinaamua usanifu kabla ya amri yoyote kuandikwa. Ikiwa mteja pekee anayepatikana ni programu rasmi ya mezani, lango la Linux linalosambaza kwa LAN sio usanidi unaoweza kuukamilisha, na kiasi chochote cha masquerading hakitabadilisha hilo.

Mteja mbadala lazima pia ulingane na njia ya uthibitishaji ya kituo cha mwisho na sera unayokusudia kutekeleza. Vituo vya mwisho vinavyotegemea vyeti, saraka na SAML havikubali usanidi sawa wa mteja, na mteja wa mtu wa tatu anayethibitisha lakini anapuuza njia zilizosukumwa sio uboreshaji.

Chukulia uchaguzi wa mteja kama sehemu ya ukaguzi wa usanifu. Huamua ikiwa muundo wa usambazaji wa LAN unapatikana kabisa, na huamua utambulisho gani kituo cha mwisho kinaona kwa kila kifaa nyuma ya lango. Rekodi mteja na usanidi wa kituo cha mwisho uliojaribiwa kuulinganisha. Mabadiliko ya mteja baada ya miezi sita yanaweza kuondoa kwa utulivu uwezo ambao usanifu ulidhani.

Elekeza LAN kwenye handaki na uitafsiri

Mteja anayeungwa mkono akiwepo, mengine ni kazi ya kawaida ya lango. Vifaa vya LAN vinahitaji njia ya masafa ya VPC inayoelekeza kwa mwenyeji wa Linux, na mwenyeji anahitaji usambazaji umewashwa. Ikiwa unataka VPC ionane trafiki kama mteja aliyeunganishwa na sio kama anwani ya LAN ya kubahatisha, tafsiri chanzo wakati wa kutoka.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Punguza sheria kwa kiolesura cha handaki na masafa ya VPC, kama juu, badala ya kufanya masquerading ya kila kitu anachosambaza mwenyeji. Sheria nyembamba ni rahisi kufikiri juu yake, na haibadilishi kwa utulivu trafiki ambayo ilipaswa kuhifadhi anwani yake ya asili ya chanzo.

Acha njia ya LAN ifike kiotomatiki ikiwa unaweza: chaguo la DHCP, tangazo la kipanga-njia au njia tuli inayosukumwa na kinachosimamia LAN. Njia inayopatikana tu kwenye mashine moja ya majaribio itafanya usanifu uonekane umevunjika wakati mtu mwingine anaujaribu.

Jibu pia linahitaji njia

Baada ya ombi kufika VPC, jibu linapaswa kurudi kupitia hali zile zile za tafsiri na kupata njia ya LAN kwenye lango. Sehemu hiyo kawaida hufanya kazi wakati sheria ya masquerade iko mahali, kwa sababu ramani inaishi kwenye mwenyeji aliyeifanya. Inavunjika wakati upande wa VPC una njia inayotuma jibu mahali pengine, na ndio sababu njia ya CIDR ya mteja na uunganishaji wa subnet kwenye kituo cha mwisho zote ni muhimu.

Angalia vihesabu, sio ping tu. Sheria ya masquerade yenye pakiti sifuri inakuambia ombi halikufika kamwe kwenye kiolesura cha handaki, jambo linaloelekeza nyuma kwenye njia ya LAN au jedwali la uelekezaji la mteja mwenyewe. Sheria yenye pakiti lakini bila majibu inaelekeza upande wa VPC, sheria za uidhinishaji au kikundi cha usalama kisichokubali chanzo kilichotafsiriwa. Soma mielekeo yote miwili kabla ya kubadilisha chochote, kwa sababu hesabu inayokua upande mmoja tu ni njia ya mwelekeo mmoja, sio njia ya polepole.

Kumbuka kituo cha mwisho ni huduma inayosimamiwa. Hakuna faili ya usanidi wa seva ya kuhariri na hakuna maagizo ya client-config ya kuongeza, kwa hivyo maagizo yaliyoandikwa kwa seva ya OpenVPN inayojisimamia yenye njia maalum za subnet ya mteja hayahamishwi. Kwenye AWS, vifaa vya kujiinua ni uunganishaji wa subnet, sheria za uidhinishaji na majedwali ya uelekezaji ya VPC.

Utambulisho wa pamoja ni sehemu ambayo sera inapaswa kuijibu

Kila kifaa nyuma ya lango kinatumia kikao cha VPN cha lango. Sheria za uidhinishaji za kituo cha mwisho zinampa mtumiaji au kikundi ufikiaji, na kwa mtazamo wa huduma kuna mtumiaji mmoja hasa kwenye kikao hicho. Usambazaji wa ndani hauzidishi utambulisho huo kuwa uthibitishaji kwa kila kifaa, na haupanui ukaguzi wa hali ya kifaa hadi kwenye printa ya kona.

Hilo linaweza kukubalika, au linaweza kuwa sababu ya usanifu kukataliwa. Inategemea kile rasilimali za VPC zinachodhania kuhusu nani anapiga simu. Utambulisho wa pamoja unaolingana na modeli ya uidhinishaji ni sawa; ule unaobadilisha kwa utulivu kikao kimoja kilichothibitishwa kuwa ufikiaji wa LAN nzima ni ugunduzi unaosubiri kuandikwa.

Ikiwa mahitaji ni kweli kuunganisha tovuti nzima na VPC, linganisha usanifu wa tovuti-kwa-tovuti unaoungwa mkono kabla ya kupanua mteja wa ufikiaji wa mbali. Maana ni tofauti, na kikao cha mteja chenye NAT ni mbadala mbaya wa kiungo cha tovuti wakati VPC inahitaji kuanzisha miunganisho kwenye LAN.

Amua mteja, njia, tafsiri na hadithi ya utambulisho kwa mpangilio huo. Kila moja hupunguza inayofuata, na mpangilio unaeleza kwa nini mwenyeji anafanya kazi wakati LAN haifanyi.