EC2 இல் Access Server முழு டன்னல்: ஒரு சரிபார்ப்புப் பெட்டி ஏன் போதாது

EC2 நிகழ்வில் மூலம் மற்றும் இலக்கு சரிபார்ப்பை முடக்குவது Access Server இன் இணைய வெளியேற்றம் பற்றிய கேள்விகளுக்கு மிக அதிகம் திரும்பக் கூறப்படும் பதில், அது தனியாக உங்கள் வாடிக்கையாளர்களுக்கு எதையும் செய்யாது. சரிபார்ப்பு AWS இன் அனுப்புதல் கட்டுப்பாடு: நிகழ்வின் சொந்த முகவரி அல்லாத மூலம் அல்லது இலக்கைக் கொண்ட பாக்கெட்டுகளை ஏற்கச் செய்கிறது. வாடிக்கையாளரை இணையப் போக்குவரத்தை டன்னல் வழியாக அனுப்பச் சொல்லாது, மேல்நோக்கி பாதையை உருவாக்காது, NAT ஐச் சேர்க்காது. சரிபார்ப்புப் பெட்டியே அம்சம் என்பது கட்டுக்கதை.

சரிபார்ப்பு உண்மையில் கட்டுப்படுத்துவது

ஒவ்வொரு EC2 பிணைய இடைமுகமும் தன்னை நோக்கி அனுப்பப்படாத போக்குவரத்தை நிராகரிக்கும், நிகழ்வு திசைவி, NAT சாதனம் அல்லது VPN நுழைவாயிலாகச் செயல்பட்டு நீங்கள் அந்தச் சரிபார்ப்பை முடக்காத வரை. முடக்குவது அனுப்ப அனுமதி தருகிறது. அனுமதி கட்டமைப்பு அல்ல: நிகழ்வுக்கு இன்னும் இணைய நுழைவாயில் அல்லது NAT சாதனத்திற்கு பாதை தேவை, VPC பாதை அட்டவணைக்கு இன்னும் பொருந்தும் பதிவு தேவை, பாதுகாப்புக் குழுக்கள் இன்னும் ஓட்டத்தை அனுமதிக்க வேண்டும், சேவையகம் இன்னும் திரும்பும் போக்குவரத்தை மொழிபெயர்க்க அல்லது வழிநடத்த வேண்டும்.

எதையும் மாற்றுவதற்கு முன் aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck மூலம் தற்போதைய மதிப்பைச் சரிபார்க்கவும். கன்சோலில் மாற்றினால், வாடிக்கையாளர் இணையத்தை அடையாததால் அல்ல, நிகழ்வு மற்றவர்களுக்காக அனுப்புவதால் மாற்றுங்கள்.

வாடிக்கையாளர் வழிநடத்தல் கொள்கை Access Server உடையது

Access Server 3 இல் Access Controls ஐத் திறந்து Internet Access and DNS பகுதியைக் கண்டறியவும். Internet Gateway தேர்வு முழு அல்லது பிரிக்கப்பட்ட டன்னலை வழங்குகிறது; முழு டன்னல் வாடிக்கையாளரை அதன் இயல்புநிலைப் போக்குவரத்தை VPN உள்ளே வழிநடத்தச் சொல்கிறது, பிரிக்கப்பட்ட டன்னல் இணையப் போக்குவரத்தை வாடிக்கையாளரின் உள்ளூர் பாதையில் விடுகிறது. தயாரிப்பின் பணிப்பாய்வு மூலம் சேமித்து பயன்படுத்தவும், பின்னர் சோதனை வாடிக்கையாளரை மீண்டும் இணைக்கவும், ஏனெனில் கொள்கை இணைப்பின் போது வழங்கப்படுகிறது.

பழைய வெளியீடுகள் வேறு மெனுக்களைப் பயன்படுத்துகின்றன, சில Community OpenVPN உருவாக்கங்களில் சமமான கட்டுப்பாடு இல்லை. இல்லாத திரையைத் தேடுவதற்கு முன் நிறுவப்பட்ட முதன்மை பதிப்பைச் சரிபார்க்கவும். பின்னர் வாடிக்கையாளர் என்ன பெற்றார் என்பதை உறுதிப்படுத்தவும்: முழு டன்னல் சுயவிவரம் டன்னல் வழியாக இயல்புநிலை பாதையை நிறுவ வேண்டும், பிரிக்கப்பட்ட டன்னல் சுயவிவரம் அவ்வாறு செய்யக்கூடாது.

டன்னலுக்குப் பிறகு பாக்கெட்டைக் கண்காணிக்கவும்

வாடிக்கையாளர் இணையப் போக்குவரத்தை டன்னலுக்குள் அனுப்பியதும், சேவையகம் அதை அனுப்ப வேண்டும், பொதுவாக மொழிபெயர்க்க வேண்டும். Access Server தனது சொந்த NAT மற்றும் வழிநடத்தல் விதிகளை நிர்வகிக்கிறது, எனவே உருவாக்கப்பட்ட கோப்புகளில் Community OpenVPN விதிகளைச் சேர்ப்பதற்குப் பதிலாக பயனுள்ள கட்டமைப்பைப் படிக்கவும்; நிர்வகிக்கப்படாத விதிகள் அடுத்த தயாரிப்பு புதுப்பிப்பில் மேலெழுதப்படும் அல்லது மோதும். sudo iptables -t nat -L -n -v அல்லது nftables இன் சமமானது உண்மையில் என்ன மொழிபெயர்க்கப்படுகிறது என்பதைக் காட்டுகிறது.

AWS பக்கம் தனி பாதை. பொது துணைப்பிணையத்தில் உள்ள நிகழ்வு இணைய நுழைவாயிலை நேரடியாக அடைந்து அதன் பொது முகவரியை அல்லது நெகிழ்வான IP ஐ வைத்திருக்கும். தனிப்பட்ட துணைப்பிணையத்தில் உள்ள நிகழ்வுக்கு NAT நுழைவாயில் அல்லது NAT நிகழ்வுக்கு பாதை தேவை, NAT சாதனத்திற்கு இணைய நுழைவாயிலுக்கு அதன் சொந்த பாதை தேவை. இணைய நுழைவாயிலை VPC உடன் இணைப்பது தானாகவே எந்த தனிப்பட்ட மூலத்திற்கும் பொது திரும்பும் முகவரியைத் தராது, அதனால்தான் அதே Access Server அமைப்பு ஒரு துணைப்பிணையத்தில் வேலை செய்து மற்றொன்றில் அமைதியாகத் தோல்வியடைகிறது.

நிகழ்வின் துணைப்பிணையத்துடன் இணைக்கப்பட்ட பாதை அட்டவணையைச் சரிபார்க்கவும், VPC இன் முதன்மை அட்டவணையை மட்டும் அல்ல. துணைப்பிணைய இணைப்புகள் முதன்மை அட்டவணையை மிஞ்சும், பழைய இணைப்பு வேலை செய்த கட்டமைப்பு மறுகட்டமைப்புக்குப் பிறகு நிற்கும் பொதுவான காரணம்.

IP வெளியேற்றத்தையும் DNS ஐயும் தனித்தனியாக வைத்திருங்கள்

ஒரே வாடிக்கையாளர் பயன்பாட்டிலிருந்து முதலில் முகவரி எழுத்துருவை, பின்னர் பெயரைச் சோதிக்கவும். curl -4 https://checkip.amazonaws.com பொது முகவரியைத் திருப்பினாலும் புரவலன் பெயர்கள் தோல்வியடைந்தால், டன்னலும் NAT பாதையும் வேலை செய்கின்றன, சிக்கல் DNS இல் உள்ளது: அனுப்பப்பட்ட தீர்வான், வாடிக்கையாளரின் தீர்வான் நிலை, அல்லது தீர்வானைத் தடுக்கும் பாதுகாப்புக் குழு. Access Server இன் DNS அமைப்புகள் அதே Internet Access பகுதியில் உள்ளன, ஆனால் அவை வேறு குறியீட்டுப் பாதையில் பயணிக்கின்றன.

திருப்பப்பட்ட முகவரியை நீங்கள் நினைத்த வெளியேற்றத்துடன் ஒப்பிடுங்கள். அது நிகழ்வின் பொது முகவரி என்றால் போக்குவரத்தை நிகழ்வு மொழிபெயர்க்கிறது; அது NAT நுழைவாயில் முகவரி என்றால் தனிப்பட்ட துணைப்பிணைய பாதை பயன்படுத்தப்படுகிறது. இரண்டும் சரியாக இருக்கலாம். நீங்கள் முடிவு செய்ய முடியாதது என்னவென்றால், சேவையகத்தில் உள்ள உலாவி வாடிக்கையாளர் அனுப்புதலை நிரூபிக்கிறது என்பது.

ஒரு சரிபார்ப்புப் பெட்டி விசாரணையை மூடவிடாதீர்கள்

IPv6 தனி முடிவு. IPv4 க்கான முழு டன்னல் கொள்கை IPv6 எடுத்துச் செல்லப்படுகிறதா, தடுக்கப்படுகிறதா அல்லது கசிகிறதா என்பதைப் பற்றி எதுவும் கூறாது, இரட்டை அடுக்கு வாடிக்கையாளர் IPv4 டன்னலில் இருக்கும்போது அதன் உள்ளூர் IPv6 பாதையைத் தொடர்ந்து பயன்படுத்தலாம். உங்களுக்கு உண்மையில் முக்கியமான முகவரி குடும்பத்தைச் சோதிக்கவும், மற்றதை முடக்க வேண்டுமா என்பதை வெளிப்படையாக முடிவு செய்யவும்.

இறுதியாக, துண்டிக்கப்பட்ட நிலையைச் சோதிக்கவும். முழு டன்னல் தேர்வு இணைக்கப்பட்டிருக்கும் போது வழிநடத்தல் கொள்கையை விவரிக்கிறது, டன்னல் விழும்போது என்ன நடக்கிறது என்பதை அல்ல. VPN க்கு வெளியே எந்தப் போக்குவரத்தும் தப்பக்கூடாது என்பது தேவை என்றால், அது kill-switch மற்றும் தீச்சுவர் கேள்வி, அது பாதை அட்டவணையிலிருந்து ஊகிப்பதற்குப் பதிலாக அதன் சொந்த சோதனையைக் கோருகிறது.