AWS Client VPN na handaki iliyogawanywa: njia zipi za kuchapisha

Konsoli inatoa kitufe cha handaki iliyogawanywa, kwa hivyo uamuzi unaonekana kama kisanduku cha kuteua. Sivyo. Kinachofika kwa mteja kwa kweli ni seti ya njia zilizochapishwa za kituo cha mwisho, na orodha hiyo huamua ni viambishi vipi vya faragha vinavyotumia handaki, ikiwa trafiki ya jumla ya intaneti inabaki ndani au inatoka kupitia AWS, na ni resolver gani mteja bado anaweza kuzungumza nayo. Maswali matatu huamua muundo, na kila moja linaweza kujibiwa vibaya wakati muunganisho bado unafanikiwa.

Bendera ya handaki iliyogawanywa si orodha ya mahali pa kwenda

AWS inaelezea handaki iliyogawanywa kama kuongeza njia za kituo cha mwisho kwenye jedwali la njia la mteja wakati muunganisho unapoanzishwa. Njia ya VPC ya faragha huweka handaki ndani ya kusudi hilo; kila kitu kingine hufuata njia ya kawaida ya mteja. Njia ya chaguo-msingi ni maelekezo tofauti yenye athari tofauti, ndiyo sababu nyaraka za handaki iliyogawanywa zinaonya dhidi ya kuchapisha 0.0.0.0/0 kwenye kituo cha mwisho kilichosanidiwa kwa hali hii: kwa kawaida huvunja muunganisho badala ya kuupanua. Jedwali la njia la kituo cha mwisho ni sera, na jedwali la njia la mteja ni matokeo unayoweza kukagua.

Soma jedwali la njia la kituo cha mwisho na njia zilizosakinishwa za mteja pamoja. Lebo inaelezea nia; njia zinaelezea kinachotokea.

Uamuzi wa kwanza: trafiki ya jumla ya intaneti inapaswa kubaki ndani?

Ikiwa kuvinjari kunapaswa kutumia muunganisho wa mtumiaji mwenyewe, chapisha tu mahali pa faragha panapohitajika na kazi na usimame hapo. Usiongeze njia ya intaneti kwa sababu mafunzo ya handaki kamili yalijumuisha moja, na usidhani njia ya ziada inaboresha usalama. Inabadilisha njia, haiongezi sera, na kwa kawaida inagharimu ucheleweshaji ambao hukupanga bajeti yake.

Ikiwa trafiki ya intaneti inapaswa kutoka kupitia AWS, jenga usanifu wa ufikiaji wa intaneti ulioandikwa: njia ya kituo cha mwisho, kanuni za idhini, njia ya subnet inayohusiana, sera ya usalama na njia ya juu ya kutoka inayofanya kazi. Njia ya chaguo-msingi peke yake haitoi chochote kati ya hivyo.

Uamuzi wa pili: viambishi vipi vya faragha, na kwa idhini ya nani?

Chapisha seti ndogo zaidi ya mahali panapohudumia mzigo halisi wa kazi, na hakikisha kila subnet inayohusiana inaweza kuelekeza njia kwao. Lengo la njia la kituo cha mwisho na uelekezaji wa VPC wa subnet ni tabaka tofauti, na njia iliyopo katika moja si ushahidi kuhusu nyingine. Idhini ni tofauti tena: kusudi linaweza kufikiwa na bado likakataliwa kwa sababu kikundi cha mteja hakina kanuni inayoiruhusu.

Kujaribu kikao kimoja kilichofanikiwa kunathibitisha njia moja. Kagua kila subnet inayohusiana, kwa sababu muunganisho wa subnet ulioongezwa baadaye ndio mahali ambapo njia inayokosekana hukaa.

Wakati kusudi linapaswa kufikiwa kwa jina, kumbuka kwamba swali linalofuata ni utatuzi wa majina, si njia.

Uamuzi wa tatu: ni resolver gani inayofuata handaki?

Mteja anaweza kupokea seva ya DNS inayofikiwa tu kupitia VPN, na resolver hiyo inafanya kazi tu ikiwa anwani yake yenyewe iko ndani ya njia iliyoidhinishwa. Hakikisha nusu zote mbili: anwani ya resolver inafuata njia iliyochapishwa, na seva inajibu majina ambayo programu inauliza. Ombi linalofanikiwa kwa anwani lakini kushindwa kwa jina la mwenyeji linaonyesha uwekaji wa majina, si uelekezaji, na utatuzi wa handaki katika hali hiyo hupoteza mchana.

Majina ya umma yanapaswa kutatuliwa kama ilivyokuwa kabla ya muunganisho, ambayo ni sababu nyingine ya kuwa sahihi kuhusu kile unachochapisha.

Badilisha seti ya njia, kisha hakikisha dunia zote mbili

AWS inaandika kwamba kubadilisha njia kwenye kituo cha mwisho cha handaki iliyogawanywa hurejesha muunganisho wa wateja. Panga mabadiliko kwa kuzingatia hilo: yatekeleze, unganisha tena kupitia mteja unaotumika, na soma njia zilizosakinishwa upya badala ya kuamini hali iliyotekelezwa kabla ya uhariri. Hali ya zamani iliyotekelezwa ndiyo sababu ya kawaida zaidi ya mabadiliko sahihi kuonekana yamevunjika.

Kubali muundo tu wakati rasilimali moja ya faragha na kusudi moja la umma zote zina tabia kama ilivyokusudiwa, kwa jina na kwa anwani, katika familia za anwani unazoziauni kweli. Handaki inayothibitisha si sawa na handaki inayogawanya kwa usahihi.

Andika orodha ya njia kwenye runbook kando ya hoja, ili mtu anayefuata aweze kutofautisha kutengwa kwa makusudi na kwa kusahau.