VGW au TGW? Mahali ambapo handaki la IPsec la AWS Site-to-Site linaishia

Watu huuliza mahali ambapo AWS Site-to-Site VPN inaacha kulinda pakiti na wanatarajia jibu moja: kwenye lango. Toleo lenye manufaa la jibu hilo hutaja lango lipi, kwa sababu lango la faragha pepe na lango la usafirishaji ni mipangilio tofauti yenye vitu vya kiambatisho tofauti, na mhakiki anayedhania isiyo sahihi hujenga tathmini iliyobaki juu ya mchoro ambao haupo. Fanya ukaguzi tatu hapa chini kwa mpangilio. Kila mmoja au unathibitisha mpaka au unakuambia kwamba jibu la awali lilikuwa kuhusu rasilimali nyingine.

Taja ncha tatu za mwisho kabla ya kutathmini kitu chochote

Mapitio ya usimbaji fiche ya njia hii yanahitaji vitu vitatu vilivyotajwa: lango la mteja, lengo la AWS VPN linalomaliza IPsec, na ncha ya mwisho ya programu inayopokea pakiti ya ndani. Ziandike pamoja na vitambulisho vya rasilimali zao kabla ya kufungua ukurasa mmoja wa konsoli, kwa sababu kila kitu baada ya hatua hii ni taarifa kuhusu moja ya hizo tatu.

Lango la mteja ni lako na usanidi wake unaonekana kwako. Lengo la AWS ni rasilimali inayosimamiwa, na kosa ni kuichukulia kama ilivyo: muunganisho wa VPN unaweza kuambatana na lango la faragha pepe au moja kwa moja na lango la usafirishaji, na hakuna moja linalomaanisha lingine. Ncha ya tatu ya mwisho ndiyo ambayo watu huiruka, na ndiyo pekee inayojibu swali la kweli kuhusu data ya programu.

Ukaguzi 1: lango lipi kwa kweli linamaliza handaki

Mipangilio yote miwili inatumika na mwongozo wa usanifu wa Site-to-Site VPN unaeleza yote kwa upande, kwa hiyo uliza API badala ya mchoro ambao mara nyingi una umri wa mwaka mmoja. Swali la kusoma tu kwenye muunganisho mmoja hurudisha sehemu za lengo la VPN:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Kitofautishi ni TransitGatewayId, si VpnGatewayId. Muunganisho wenye TransitGatewayId tupu unaishia kwenye lango la faragha pepe lililojitegemea, wakati muunganisho wenye sehemu hiyo iliyowekwa unaishia kwenye kiambatisho cha VPN cha lango la usafirishaji, na VpnGatewayId bado inaweza kuwa imejazwa katika hali hiyo kwa sababu inaweza kutaja lango linalotegemeza kiambatisho. Soma sehemu ya TGW kwanza, kisha thibitisha aina ya kiambatisho kutoka orodha ya viambatisho badala ya jina la sehemu, kwa sababu kiambatisho cha VPC kwenye lango hilo la usafirishaji si kiambatisho cha VPN. Kupata instance ya lengwa ndani ya VPC iliyounganishwa hakuambii kitu kuhusu ni kiambatisho kipi cha VPN kilichobeba pakiti.

Ukiwa huko, angalia handaki pia. Muunganisho hubeba handaki mbili za IPsec kwa ajili ya upungufu, na muunganisho ambao handaki yake ya pili haikupanda kamwe ni ugunduzi wa kweli kwa upatikanaji ingawa haubadilishi chochote kwenye mpaka wa usimbaji fiche:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Ukaguzi 2: kile pakiti ya ndani bado inabeba

IPsec inapoisha, AWS husambaza pakiti iliyofunuliwa kwa njia iliyolingana nayo. Kutoka hapo trafiki ni trafiki ya kawaida ya VPC, na ulinzi wa VPN umekwisha. Hili si pengo katika huduma; hii ndiyo maana ya mpaka, na kipengele cha orodha ni kusema hivyo wazi badala ya kuruhusu "VPN imesimbwa" kusimama mahali pa "data imesimbwa kutoka mwanzo hadi mwisho".

Sasa chunguza kilichokuwa ndani. Ikiwa pakiti ya ndani ni itifaki ya programu katika maandishi wazi, hakuna kitu chini kinachoongeza usiri hadi kitu kingine kiisimbe. Ikiwa pakiti ya ndani tayari inabeba kikao cha TLS, kuondoa IPsec ya nje hakubadilishi chochote kwa kikao hicho: kinabaki kikilindwa hadi ncha yake ya mwisho, popote ncha hiyo ilipo.

Marekebisho ya kupindukia ya kawaida ni kuhitimisha kwamba kila kitu nyuma ya lango kiko wazi. Sivyo. Usafirishaji wa huduma, usimbaji fiche wa hifadhi na TLS ya programu ni mifumo tofauti yenye masharti tofauti, na kila mmoja unapaswa kutathminiwa kwa masharti yake mwenyewe badala ya kukisiwa kutoka kwa umbo la VPN. Kuingia kwa kumbukumbu ya mtiririko kunakoonyesha ACCEPT kunathibitisha kwamba uelekezaji ulifanya kazi na hakisemi chochote kuhusu usiri, na hilo ndilo kosa ambalo orodha hii ipo kuzuia.

Ukaguzi 3: kile kinachomaliza TLS nyuma ya lango

Fuata msikilizaji, si anwani. Ikiwa kipatanishi cha mzigo au proksi kinamaliza TLS, muunganisho ambao mteja wako anaushika unaishia hapo, na proksi inafungua muunganisho wa pili kwa backend ambao unaweza kuwa maandishi wazi au TLS yenye mnyororo mwingine wa uaminifu. Anwani ya IP ya faragha na njia inayolingana si ushahidi kuhusu muunganisho huo wa pili.

Jaribu ncha ya mwisho ambayo kwa kweli unaijali kutoka ndani ya VPC, kwa jina ambalo programu inatumia badala ya IP uliyotatua mara moja:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Rudia hilo kwa kila hatua ambayo ombi linapita. Ikiwa jibu linatofautiana kati ya jina linaloelekea mteja na jina la backend, umepata sehemu hiyo hasa ambayo VPN haikuwahi kuifunika, na hilo ndilo ugunduzi wa kuandika.

Rekodi matokeo kama sehemu, si kama hukumu

Matokeo ya orodha hii ni jedwali dogo lenye mstari mmoja kwa kila sehemu: lango la mteja hadi lengo la AWS VPN, lango hadi mzigo wa kazi, mzigo wa kazi hadi hifadhi ya data, na hatua yoyote ya proksi katikati. Kila mstari unasema kile kinacho ilinda na ulinzi huo unategemea nini. "Imesimbwa" bila mfumo na bila ncha ya mwisho si mstari.

Kisha jibu sharti la awali kwa maneno yale yale lilivyoulizwa. Ikiwa sharti ni kwamba data ibaki sirini hadi mzigo wa kazi uipokee, VPN inatimiza sehemu ya kwanza pekee, na mistari iliyobaki inahitaji usafirishaji wa programu, TLS ya huduma au usimbaji fiche wa hifadhi uliowekwa na kuthibitishwa kivyake.

Hifadhi vitambulisho vya muunganisho, hali za handaki na masomo ya vyeti kwenye rekodi. Mtu anaporudi kwenye muundo baada ya miezi sita, vitu hivyo vitatu hujibu swali la mpaka kwa dakika chache badala ya kuanzisha mjadala upya kutoka kwenye mchoro.