IP ya chanzo ipi hutumiwa na lango la NAT la AWS kuelekea VPN?

Unafungua konsoli ya VPC kwa sababu mshirika aliuliza ni wigo gani wa chanzo utakaofika kupitia VPN ya tovuti-hadi-tovuti. Ukurasa wa lango za NAT unaonyesha lango la umma lenye Elastic IP iliyounganishwa, na jaribu ni kutuma anwani hiyo na kuendelea. Ni jibu sahihi kwa njia ya mtandao na jibu lisilo sahihi kwa njia ya VPN, na tofauti ni lango gani jedwali la njia linaelekeza. Pitia njia kabla ya kuandika orodha ya kuruhusiwa.

Anza kwenye ukurasa wa lango za NAT, si kwenye orodha ya kuruhusiwa

Ukurasa wa lango za NAT unakuambia subnet, aina na Elastic IP, na sehemu hizo tatu zinatosha kuanza. Isichokuambia ni njia ambayo trafiki inachukua baadaye. Hiyo inatoka kwenye majedwali ya njia yaliyounganishwa na subnet ya lango la NAT.

Soma aina kwanza, kwa sababu la umma au la kibinafsi huamua kama lango la mtandao litaonekana baadaye kwenye mnyororo. Kisha soma subnet, kwa sababu njia ya pili iko hapo.

Fuatilia mabadiliko mawili

Lango za NAT za umma na za kibinafsi zote hubadilisha chanzo cha IPv4 cha kibinafsi cha mzigo wa kazi kuwa anwani ya IPv4 ya kibinafsi ya lango la NAT yenyewe. Mabadiliko hayo ya kwanza hufanyika bila kujali aina. Mabadiliko ya pili ni yale watu husahau: lango la NAT la umma hukabidhi trafiki kwa lango la mtandao, ambalo hupanga anwani kwenye Elastic IP iliyounganishwa.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Kwenye njia ya kibinafsi hakuna lango la mtandao kwenye mnyororo. Trafiki inapotoka kupitia lango la uhamishaji au lango la kibinafsi la mtandao, mwongozo wa lango za NAT unaandika anwani ya kibinafsi ya lango la NAT kama chanzo ambacho upande wa mbali hupokea. Ni anwani hiyo ambayo mshirika anapaswa kuiruhusu, si Elastic IP.

Njia ya VPN kwa kawaida huonyesha anwani ya kibinafsi

Kwa mzigo wa kazi katika 10.20.1.0/24 unaofikia kiambishi cha mshirika, jedwali la njia la subnet ya mzigo wa kazi linaelekeza kwenye lango la NAT, na jedwali la njia la subnet ya lango la NAT linaelekeza kwenye njia ya lango la kibinafsi. Kuruka kote kuwili ni muhimu, na ni ya pili tu inayoamua kile mshirika anachokiona. Kama subnet ya NAT haina njia yoyote kuelekea njia ya VPN, pakiti haifiki kamwe, na hiyo ni kushindwa tofauti na anwani ya chanzo isiyo sahihi.

Thibitisha njia hiyo ya pili kabla ya kuzungumza kuhusu anwani. Njia inayokosekana na chanzo kilichoripotiwa vibaya vinaonekana sawa kwa mshirika ambaye haoni trafiki.

Wakati mabadiliko ya pili yanabadilisha jibu

AWS pia inatoa upangaji wa NAT wa wazi na unaolingana wa moja-kwa-moja kwenye kiambatisho cha lango la uhamishaji. Upangaji huo unaweza kubadilisha chanzo tena kabla huduma ya mbali kuiona, na si tabia ya msingi inayoelekeza njia pekee. Kwa kuwa lazima isanidiwe kwa makusudi, ichukulie kama ubaguzi wa muundo na si kitu unachorithi kwa bahati. Kama hakuna mtu katika timu yako anayekumbuka kuiwasha, dhani haipo hadi usome kiambatisho.

Kama muundo wako unaitumia, orodha ya kuruhusiwa lazima ieleze upangaji wa mwisho na si anwani ya lango la NAT. Tahadhari hiyo hiyo inatumika kwa njia za upatikanaji: wakati anwani kadhaa za lango zinashiriki, seti ya chanzo inayotarajiwa ni muungano, si anwani moja ya mwakilishi. Andika ni mabadiliko gani kila anwani inahusiana nayo, kwa sababu orodha isiyo na asili haiwezi kukaguliwa baadaye.

Lango la NAT la kibinafsi haliwezi kupewa huduma ya mtandao kwa kulielekeza kwenye lango la mtandao; AWS inaandika kwamba trafiki kama hiyo hutupwa. Chagua aina kwa njia kamili, si kwa neno VPN lililo kwenye hitaji.

Andika mkataba ambao mshirika wako anaweza kuutekeleza

Mkataba unaotumika una sehemu nne: mwelekeo ambao mitiririko huanzia, utambulisho uliobadilishwa ambao mshirika ataona, njia ya kurudi kwa utambulisho huo na upeo wa ulinzi unaotumika. Mitiririko ya lango la NAT huanzia upande wa chanzo unaotumika, kwa hivyo hii si huduma ya kupeleka bandari zinazoingia ili kudhihirisha mzigo wa kazi wa kibinafsi. Kulisema kwa sauti mapema kunazuia ukaguzi wa muundo ambapo kila upande ulidhani upande mwingine ulianzisha.

Mabadiliko hununua nafuu kutokana na mwingiliano wa anwani na sera ya chanzo inayotabirika, na hukugharimu utambulisho binafsi wa mzigo wa kazi katika kumbukumbu za mshirika. Kama ukaguzi unahitaji ugawaji kwa kila mzigo wa kazi, weka utambulisho huo kwenye tabaka la programu badala ya kujaribu kuurejesha kutoka anwani ya chanzo iliyobadilishwa.

Kisha angalia tena majedwali yote mawili ya njia baada ya mabadiliko yoyote, kwa sababu kiambatisho kipya au subnet iliyounganishwa upya huandika jibu upya kimya kimya.