Elastic IP ya EC2 si anwani ya VPN ya faragha ya instance

Instance ina anwani ya faragha, Elastic IP imeunganishwa nayo, na njia ya /32 hiyo ya umma inaongezwa kwenye VPN kwa matumaini kwamba vyote viwili vitakuwa kitu kimoja. Havikuwi. Elastic IP ni tafsiri inayofanywa nje ya mgeni, na lango la intaneti, kwenye trafiki inayochukua njia ya intaneti. Mfumo wa uendeshaji wa mgeni hauoni kamwe anwani hiyo imesanidiwa kwenye kiolesura. Kuiongeza kwenye kiolesura cha handaki hakuizalishi tafsiri ya juu na huunda utambulisho wa pili, unaopingana, kwa mashine hiyo hiyo.

Anwani mbili, instance moja

Kiolesura cha mtandao cha instance kinashikilia anwani ya faragha ndani ya VPC, na hiyo ndiyo anwani ambayo mgeni anaijua. Elastic IP imeunganishwa na kiolesura hicho hicho lakini inaishi upande wa umma wa ramani.

Kila kitu kinachofikia instance kwa njia ya intaneti hufika kikiwa kimetafsiriwa kwenye anwani ya faragha. Kila kitu ambacho instance hutuma kwenye intaneti hutoka kikiwa na Elastic IP kama chanzo, tena kwa sababu ya tafsiri hiyo.

Ndani ya mgeni kuna anwani moja. Nje kuna mbili. Tofauti hiyo inaeleza sehemu kubwa ya mkanganyiko katika uwanja huu. Mgeni hawezi kusanidi kile lango hufasiri. Anaweza kujibu tu kwenye anwani aliyo nayo kweli.

Lango la intaneti hufanya nini kweli

Nyaraka za AWS kuhusu lango la intaneti zinaeleza mpangilio: instance inafahamu anwani yake ya faragha ya IPv4, na lango hutoa tafsiri inayolingana ya IPv4 ya umma au Elastic IP kwa trafiki kwenye njia ya intaneti.

Hiyo ni tafsiri ya anwani za mtandao, si jina la kibanzi. Ramani huhifadhiwa na lango, imefungwa kwa muunganisho, na inatumika tu kwa pakiti zinazopita ndani yake. Ondoa muunganisho na utambulisho wa umma hutoweka bila mgeni kugundua chochote.

Ndiyo sababu pakiti ya VPN ya faragha inayoelekezwa kwenye /32 ya umma haifasiriwi upya kama pakiti ya faragha kwenye anwani ya ndani ya mgeni. Pakiti hufuata njia inayolingana nayo, ambayo huituma kwenye lango la intaneti, na tabia ya lango inategemea kama njia inaruhusiwa pande zote mbili.

Kwa nini hila ya kiolesura cha handaki inashindwa

Kukabidhi Elastic IP kwa kiolesura cha handaki kunamwomba mgeni kuchukua anwani ya umma kama ya ndani. Sasa vitu viwili vinadai anwani moja: tafsiri ya lango kwenye njia ya intaneti na kiolesura cha ndani ndani ya handaki. Trafiki inayorudi haina jibu thabiti la lipi linatumika.

Hata inapoonekana kufanya kazi, muundo umeficha swali la kweli. Wateja hufikia anwani ya faragha kupitia handaki au hufikia kituo cha mwisho cha umma kupitia intaneti, na njia hizo mbili zina vikundi tofauti vya usalama, uwekaji kumbukumbu tofauti na mbinu tofauti za kushindwa.

Anwani haikuwa tatizo kamwe. Uchaguzi wa njia ndio ulikuwa.

Malengo matatu, miundo mitatu

Ikiwa lengo ni kituo cha mwisho cha VPN cha umma, Elastic IP ndicho chombo sahihi: wenzao wa mbali huunganisha nayo kupitia intaneti na usafirishaji uliosimbwa huishia kwenye instance. Trafiki ya ndani ya programu hutumia anwani ya faragha baadaye.

Ikiwa lengo ni ufikiaji wa faragha kwa programu, lengo ni anwani ya faragha au jina la DNS la faragha linalotatua kwenda humo, na njia ya VPN, kikundi cha usalama na njia ya kurudi lazima zikubaliane zote. Elastic IP haionekani kabisa katika muundo huo.

Ikiwa lengo ni utambulisho thabiti wa kutoka kwa umma kwa watumiaji wa VPN, huo ni muundo wa NAT upande wa kutoka, si anwani kwenye handaki la mteja. Malengo matatu yanayosikika sawa hutoa michoro mitatu tofauti, na ni moja tu kati yao inayohusisha kuweka Elastic IP mahali pengine.

Thibitisha njia uliyochagua

Kwa ufikiaji wa faragha, thibitisha kwamba njia ya VPN inashughulikia kiambishi cha faragha, kwamba jedwali la njia la VPC linarudisha trafiki kwenye handaki, kwamba kikundi cha usalama kinaruhusu chanzo cha mteja na kwamba firewall ya mteja mwenyewe inaruhusu jibu. Kisha jaribu ombi moja halisi badala ya ping.

Kwa ufikiaji wa umma, thibitisha kutoka kwa intaneti kwa mteja, uelekezaji wa kiingilio cha umma na sera yake ya usalama. Ikiwa mteja wa VPN anaweza kufikia kituo cha mwisho cha umma kupitia handaki inategemea sheria za kutoka na firewall za handaki, si muunganisho wa Elastic IP.

Ikiwa jina la mwenyeji la umma linapaswa kufanya kazi kutoka pande zote mbili, tumia muundo wa DNS unaojibu kwa anwani ya faragha kwa wateja wa VPN na anwani ya umma kwa wengine wote, na uweke cheti kuwa halali kwa jina badala ya anwani. Mpangilio wa kazi: taja lengo, chagua anwani inayomilikiwa nalo, kisha thibitisha njia, sera na ombi moja.