Kwa nini EC2 haiwezi kufikia kompyuta yako ya AWS Client VPN
Client VPN hutafsiri vyanzo vya IPv4 vya mteja hadi kiolesura cha mtandao cha endpoint. Ndiyo sababu jibu hufanya kazi na muunganisho mpya kutoka EC2 haufanyi.
Kompyuta ya mkononi iliyounganishwa kupitia AWS Client VPN hufikia programu ya EC2 bila matatizo. Kisha unajaribu kinyume, kutoka EC2 hadi anwani iliyopewa mteja, na muunganisho hukwama au hukataliwa. Utengano huo ni mara chache kuwa kanuni ya kikundi cha usalama inayokosekana. Kwenye endpoint ya Client VPN inayohusishwa na subnet za VPC, AWS hutafsiri vyanzo vya IPv4 vya mteja hadi kiolesura cha mtandao cha endpoint, kwa hivyo hakuna anwani ya VPC inayoingia inayowakilisha kompyuta yako.
Anza na kile kunasa kunavyoonyesha
Nasa pakiti kwenye mwenyeji wa EC2 wakati mteja anajiunga, na usome anwani ya chanzo ambayo programu inaiona kwa kweli. Ikiwa ni kiolesura cha endpoint upande wa VPC na sio anwani kutoka bwawa la wateja, tafsiri imethibitishwa kabla ya kubadilisha hata kanuni moja.
Bwawa la wateja ni masafa ya ugawaji, sio subnet yenye njia ya kurudi. Ni katika tofauti hiyo ambapo uchunguzi wengi kama huu hukosa.
Tafsiri inayoeleza utengano
Mitiririko mitatu huchanganywa pamoja, na ni mmoja tu kati yao ambao watu huujaribu.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Maelezo ya vipengele vya Client VPN yanasema wazi kwamba vyanzo vya IPv4 vya mteja hutafsiriwa hadi kiolesura cha endpoint, na hiyo inatosha kuona kwa nini safu ya kati haina cha kulinganisha.
Muunganisho mpya unahitaji njia, hatua ya kutatua anwani na uamuzi wa idhini. Hali ya tafsiri kutoka kipindi cha mtu mwingine haitoi hata moja ya hizo tatu.
Kwa nini jibu sio muunganisho mpya
Jibu la TCP hulinganishwa na ingizo lililopo, ndiyo sababu njia ya kurudi hufanya kazi bila kanuni yoyote ya kuingia. SYN mpya kutoka kwa mwenyeji wa EC2 haina ingizo la kulinganisha, kwa hivyo inakuwa jaribio la kawaida la kutoka kuelekea mahali ambapo VPC haijui jinsi ya kufikia.
Ndiyo sababu pia kuelezea hii kama trafiki inayokwenda upande mmoja tu ni kupotosha. Trafiki ya kurudi hutiririka mfululizo katika vipindi hivi. Sehemu isiyo na njia ni mwanzo.
Ni nini bado huvunja kipindi kinachopaswa kufanya kazi
Vikundi vya usalama, ACL za mtandao na firewall ya kompyuta yenyewe yote ni muhimu kwa miunganisho inayopaswa kufanikiwa. Ping iliyoshindwa husema kidogo zaidi, kwa sababu sera ya ICMP mara nyingi hutenganishwa na sera ya TCP unayojali.
Andika kanuni hizo kwa kuzingatia chanzo kilichotafsiriwa, sio anwani ya mteja. Kanuni zilizofungwa kwenye anwani ambayo haionekani kamwe kwenye mtandao ni hitilafu ya kawaida zaidi ya kujiletea mwenyewe katika muundo huu.
Wakati VPC inapaswa kuanzisha mazungumzo kweli
Ikiwa huduma inapaswa kumjulisha kituo cha kazi, geuza mwelekeo na uache mteja ashike kituo cha kutoka cha kudumu ambacho huduma hujibu. Ikiwa mtandao mzima wa mbali unapaswa kufikiwa kutoka VPC, chagua usanifu unaochapisha viambishi vyake na sera ya ufikiaji badala ya kudhani Client VPN tayari hufanya hivyo. Ufikiaji wa mteja-kwa-mteja ni kisa cha tatu, chembamba zaidi, chenye vitu vyake vya njia na idhini. Hakuna kati ya hivi ambacho ni kisanduku cha kuteua tu kwenye endpoint iliyopo.
Weka pia wigo wa maelezo ya IPv4 kwa uaminifu. Nyaraka za sasa za AWS hutenganisha IPv6, ambapo tafsiri hiyo haitumiki, na mifano mingine ya muunganisho inayoelekeza kwa njia tofauti.
Jaribu kwa hatua tatu zilizowekwa lebo: mteja hufungua kipindi kilichoruhusiwa, huduma ya VPC hujibu kipindi hicho, na mwenyeji wa VPC hufungua kipindi kipya kuelekea mteja. Kufanikiwa kwa mbili za kwanza wakati ya tatu inashindwa ni umbo linalotarajiwa la muundo huu, sio kasoro ya kufukuzwa kwa kanuni za firewall.