EC2 kwenye kanda za upatikanaji: angalia uelekezaji kabla ya VPN

Kabla ya kusakinisha programu ya VPN kati ya vifaa viwili vya EC2, jibu swali moja: je, viko katika VPC moja? Ikiwa ndivyo, njia ya kibinafsi tayari ipo na uwekaji kwenye kanda tofauti haubadilishi hilo. Kazi nyingi katika hali hii ni kuthibitisha ni jedwali gani la uelekezaji ambalo kila subnet hutumia kwa kweli, kisha kugundua kama hitilafu ilikuwa tatizo la uelekezaji hata kidogo. Handaki kwa kawaida ni jibu lisilo sahihi kwa swali hili mahususi.

Ukaguzi 1: VPC moja au VPC tofauti

VPC ni ya kikanda na inajumuisha kanda za upatikanaji, wakati kila subnet ni ya kanda moja hasa. Vifaa viwili katika kanda tofauti za VPC moja bado viko ndani ya kikoa kimoja cha uelekezaji wa kibinafsi.

VPC tofauti hazipati kamwe njia ya kibinafsi kwa sababu tu zinashiriki eneo au lebo ya kanda. Kesi hiyo inahitaji muunganisho unaoungwa mkono na kazi yake ya njia na ruhusa, ambayo ni uamuzi tofauti.

Ukaguzi 2: majedwali ya uelekezaji ya subnet yanasema nini

Andika mpangilio kwa thamani halisi. VPC iliyo 10.60.0.0/16 ikiwa na subnet 10.60.1.0/24 na 10.60.2.0/24 inawapa vifaa 10.60.1.10 na 10.60.2.20 njia kupitia njia ya ndani ya VPC.

Kisha kagua majedwali yanayohusiana na subnet zote mbili, sio tu lile ulilolikuta kwanza. Njia mahususi zaidi ya ukaguzi au kifaa inaweza kupindua njia ya msingi, na lengo la njia ya ndani yenyewe linaweza kubadilishwa katika usanidi mpya. Njia ya ndani inayoonekana mahali fulani kwenye konsoli haithibitishi kwamba mizigo yote miwili ya kazi inaitumia.

Tumia anwani na majina ya kibinafsi ambayo VPC hutenga kwa kweli. Anwani ya kibinafsi haihitaji kuanza na 10, na kutunga moja kutoka kumbukumbu ndiyo njia ambayo mazingira yanayofanya kazi hupimwa vibaya.

Ukaguzi 3: uelekezaji au uidhinishaji

Uelekezaji huleta pakiti hadi kiolesura cha mtandao cha lengo pekee. Kikundi cha usalama cha lengo bado kinahitaji kuruhusu chanzo na huduma, kanuni za kutoka za chanzo zinapaswa kuruhusu ombi, na ACL yoyote ya mtandao inapaswa kuruhusu pande zote mbili kwa sababu ACL hazihifadhi hali.

Nyuma yake kuna firewall ya mgeni, ufungaji wa msikilizaji na utambulisho wa programu yenyewe. Kila kimoja kinaweza kukataa ombi ambalo uelekezaji uliwasilisha kikamilifu.

Ukubalifu lazima uwe operesheni halisi ya programu. Ping iliyofanikiwa haitoi ufikiaji wa programu na haithibitishi kwamba jina la TLS na vitambulisho ni sahihi, na ping iliyozuiwa haithibitishi kwamba kila huduma ya kibinafsi imesimama.

Ukaguzi 4: je, muunganisho tofauti unahitajika kweli

VPN bado inaweza kuwa sehemu ya muundo, lakini kwa sababu iliyotajwa: kuunganisha VPC hii na ofisi, kuruhusu kompyuta za mkononi au kutimiza sharti la tabaka la juu. Sababu hiyo ni tofauti na mawasiliano ya kawaida ndani ya VPC moja.

Kumbuka pia VPC si nini. Sio upanuzi wa sehemu ya Ethernet ya nyumbani. Programu inayotegemea ugunduzi wa utangazaji ina sharti tofauti la kutathminiwa. Hiyo ni pengo la muundo na sio hitilafu ya uelekezaji.

Ukaguzi 5: swali la usimbaji fiche

Anwani ya kibinafsi na kanuni ya kuruhusu hazisemi chochote kuhusu ulinzi wa kriptografia katika tabaka la programu. Ikiwa data inahitaji ulinzi kutoka mwanzo hadi mwisho, huo unatoka kwa itifaki na modeli ya utambulisho ambayo huduma inaunga mkono kwa kweli.

Tenganisha madai ya tabaka la mtandao na tabaka la programu kwenye kidokezo cha muundo, kwa sababu kuyachanganya ndiyo njia ambayo mapitio huishia kudai ulinzi ambao hakuna aliyetekeleza.

Nini cha kurekodi

Rekodi vitambulisho vyote viwili vya subnet, jedwali la uelekezaji linalohusiana na kila moja, marejeleo ya vikundi vya usalama na operesheni ya programu uliyoijaribu. Hizo ni kweli nne, na zinatatua mabishano mengi ya baadaye kuhusu njia hii.

Uwekaji kwenye kanda pekee hauambii kamwe kuongeza VPN, na hauelezi kamwe kwa nini ombi la kibinafsi lilishindwa.