AWS Client VPN இணைந்துள்ளது ஆனால் இணையம் இல்லை: வழி சரிபார்ப்பு

AWS Client VPN இணைந்துள்ளது ஆனால் இணைய அணுகல் இல்லையா? வாடிக்கையாளர் வழிகள், இறுதிப்புள்ளி அனுமதி, துணை வலைப்பிணைய வெளியேற்றம் மற்றும் DNS ஆகியவற்றை அதே வரிசையில் சரிபார்க்கவும்.

நீங்கள் AWS Client VPN இறுதிப்புள்ளியுடன் இணைந்துள்ளீர்கள், தனிப்பட்ட துணை வலைப்பிணையம் பதிலளிக்கிறது, இருப்பினும் ஒவ்வொரு பொது பக்கமும் நேரம் முடிந்து முடிகிறது. இந்தக் கலவை சிக்கலை நிர்வகிக்கப்படும் பக்கத்தின் மூன்று பொருட்களில் ஒன்றாகச் சுருக்குகிறது: வாடிக்கையாளர் நிறுவும் வழி, இறுதிப்புள்ளியின் வழி அதன் அனுமதி விதியுடன், அல்லது இணைக்கப்பட்ட துணை வலைப்பிணையத்தின் அடுத்த தாவல். வாடிக்கையாளர் பக்கத்திலிருந்து ஒவ்வொரு தோல்வியும் வேறுபட்டதாகத் தோன்றுவதால் நான் அவற்றை அதே வரிசையில் சரிபார்க்கிறேன். இந்த வழிகாட்டி VPC உடன் இணைக்கப்பட்ட நிர்வகிக்கப்பட்ட இறுதிப்புள்ளியைப் பற்றியது, EC2 இன்ஸ்டன்ஸில் OpenVPN சேவையகத்தையோ Cloud WAN அல்லது Transit Gateway இணைப்பையோ அல்ல.

வாடிக்கையாளர் உண்மையில் எதை வழிப்படுத்துகிறது என்பதிலிருந்து தொடங்குங்கள்

இணைந்த நிலை TLS அமர்வையும் வாடிக்கையாளருக்கு CIDR வழங்கப்பட்டதையும் மட்டுமே நிரூபிக்கிறது, அதற்கு மேல் ஒன்றுமில்லை. சுரங்கம் இயங்கும்போது பொது முகவரி எங்கே செல்லும் என்று இயக்க முறைமையிடம் கேளுங்கள். Linux இல் ip route get 1.1.1.1 சுரங்க இடைமுகத்தைக் குறிப்பிட வேண்டும்; macOS இல் netstat -rn -f inet | head -5 இயல்புநிலைப் பதிவைக் காட்டுகிறது; Windows இல் Find-NetRoute -RemoteIPAddress 1.1.1.1 தேர்ந்தெடுத்த இடைமுகத்தையும் அடுத்த தாவலையும் அச்சிடுகிறது.

பின்னர் split-tunnel கொடியைப் படியுங்கள், ஏனெனில் இறுதிப்புள்ளி வெளியிடும் வழிகளே வாடிக்கையாளர் சுரங்கத்திற்கு அனுப்பும் ஒரே இடங்களா என்பதை அது தீர்மானிக்கிறது:

aws ec2 describe-client-vpn-endpoints \
  --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 \
  --query 'ClientVpnEndpoints[0].SplitTunnel'

எப்போது SplitTunnel true ஆக இருக்கிறதோ, பொது இடம் சுரங்கத்தைப் பயன்படுத்துவது இறுதிப்புள்ளி அதை மூடும் வழியை வெளியிட்டால் மட்டுமே, எனவே இல்லாத 0.0.0.0/0 அந்தப் போக்குவரத்தை உள்ளூர் இடைமுகத்தில் விட்டுவிடும். அது false ஆக இருந்தால், வாடிக்கையாளர் போக்குவரத்தைப் பிடிக்கிறது, ஆனால் இறுதிப்புள்ளி அதை இன்னும் வழிப்படுத்தி அனுமதிக்க வேண்டும்; இல்லையெனில் பொதிகள் சுரங்கத்திற்குள் சென்று அங்கே நிற்கும். இரண்டில் ஒன்றை மாற்றிய பிறகு வாடிக்கையாளரை மீண்டும் இணைக்கவும், ஏனெனில் வழிகளும் DNS சேவையகங்களும் இணைக்கும் நேரத்தில் வழங்கப்படுகின்றன, இயங்கும் வாடிக்கையாளர் பழைய தொகுப்பை வைத்திருக்கலாம்.

இறுதிப்புள்ளி வழியையும் அனுமதி விதியையும் தனித்தனியாகப் படியுங்கள்

இவை இரண்டு பொருட்கள், ஒன்றை உருவாக்குவது மற்றொன்றை உருவாக்காது. இறுதிப்புள்ளி வழிகளைப் பட்டியலிட்டு, இலக்கு இணைக்கப்பட்ட துணை வலைப்பிணையமாக இருக்கும் இயல்புநிலை வழியைத் தேடுங்கள்:

aws ec2 describe-client-vpn-routes \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

ஒவ்வொரு வழிக்கும் சரியாக ஒரு இலக்கு துணை வலைப்பிணையம் உள்ளது, எனவே மூன்று இணைப்புகளுக்கு ஒவ்வொன்றிற்கும் பொருந்தும் இயல்புநிலை வழி தேவை. AWS இந்த மூடல் தேவையை ஆவணப்படுத்துகிறது, இடைவெளியின் நடைமுறை அறிகுறி ஒரு துணை வலைப்பிணையத்திலிருந்து வேலை செய்து மற்றொன்றிலிருந்து நிற்பது, இது இல்லாத வழிக்குப் பதிலாக இடைவிடாத குறையாகப் படிக்கப்படுகிறது. அதிகாரப்பூர்வ Client VPN சூழல் ஆவணங்கள் இந்த வழிகள் சேர்ந்த பொது துணை வலைப்பிணைய ஏற்பாட்டை விவரிக்கின்றன.

அனுமதி இரண்டாவது பொருள். பொது இலக்கை எந்த விதியும் மூடாதபோது, சுரங்கம் பொதியைச் சுமந்து சேவை அதைத் தூக்கி எறிகிறது, எனவே தனிப்பட்ட வளங்கள் தொடர்ந்து இயங்கும், இணையம் மட்டும் இயங்காது:

aws ec2 describe-client-vpn-authorization-rules \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0

VPC இன் CIDR க்கான விதி 0.0.0.0/0 பற்றி எதுவும் சொல்லவில்லை. முழு சுரங்கத்திற்கான இல்லாத பகுதிகளைச் சேர்ப்பது என்பது ஒவ்வொரு இணைக்கப்பட்ட துணை வலைப்பிணையத்திற்கும் ஒரு வழி மற்றும் பின்னர் தணிக்கை செய்யக்கூடிய அனுமதி விதி:

aws ec2 create-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 create-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all \
  --description "internet egress for full tunnel"

--access-all இறுதிப்புள்ளியின் ஒவ்வொரு வாடிக்கையாளருக்கும் இலக்கை வழங்குகிறது, எனவே சுரங்கம் முழுமையாக இருக்க வேண்டிய காலம் வரை மட்டும் அதை வைத்திருங்கள்; இணைக்க குழுக்கள் இருந்தால் அடைவுக் குழுவுடன் இணைக்கப்பட்ட விதி சிறந்தது.

பொதியை இணைக்கப்பட்ட துணை வலைப்பிணையத்திற்கு வெளியே பின்தொடருங்கள்

இறுதிப்புள்ளி வழி AWS அந்தப் பொதியை அந்தத் துணை வலைப்பிணையத்திற்கு வழங்குகிறது என்பதைத் தீர்மானிக்கிறது. அதற்குப் பிறகு அடுத்த தாவலை அது தீர்மானிக்காது, அது துணை வலைப்பிணையத்தின் சொந்த VPC வழி அட்டவணையில் இருக்கிறது:

aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0a1b2c3d4e5f67890 \
  --query 'RouteTables[].Routes[?DestinationCidrBlock==`0.0.0.0/0`]'

பயன்படுத்தக்கூடிய இயல்புநிலை வழி பொது துணை வலைப்பிணையத்திற்கு இணைய நுழைவாயிலையோ தனிப்பட்டதற்கு NAT நுழைவாயிலையோ சுட்டுகிறது, blackhole நிலை என்பது இலக்கு நீக்கப்பட்டது மற்றும் பாதை இப்போது அமைதியாக இறக்கிறது. இவை இறுதிப்புள்ளி வழிப் பட்டியலிலிருந்து வேறுபட்ட அட்டவணைகள், ஒன்றைச் சரிசெய்வது மற்றொன்றைச் சரிசெய்யாது.

இந்தத் தாவலில் இரண்டு வடிகட்டிகள் உள்ளன. இலக்கு வலைப்பிணைப்பு இணைப்பில் பயன்படுத்தப்பட்ட பாதுகாப்புக் குழு பொது இலக்கை நோக்கிய வெளிச்செல் போக்குவரத்தை அனுமதிக்க வேண்டும், மேலும் பொருந்தும் வலைப்பிணைப்பு ACL கோரிக்கையையும் குறுகிய கால துறைமுகங்களில் திரும்பும் போக்குவரத்தையும் அனுமதிக்க வேண்டும். கட்டுப்படுத்தும் இணைப்பு பாதுகாப்புக் குழு தனிப்பட்ட அணுகல் வேலை செய்து பொது அணுகல் வேலை செய்யாததற்கான பொதுவான காரணம்.

மூன்றையும் ஒரே நேரத்தில் மாற்றுவதற்குப் பதிலாக அறிகுறியிலிருந்து முதல் அடுக்கைத் தேர்ந்தெடுங்கள்:

What you observeLayer to check first
No tunnel interface for a public IPClient route or split-tunnel flag
Tunnel interface chosen, request times outEndpoint route and authorization rule
Endpoint route present, still times outSubnet route table, association security group
Named host fails, numeric address worksDNS servers and their own authorization

DNS தோல்வியை இறந்த வழியிலிருந்து பிரிக்கவும்

பெயர் தீர்வு அனுப்புதலிலிருந்து வேறுபட்ட முறையில் தோல்வியடைகிறது, முழு சுரங்கம் இந்த வேறுபாட்டை முக்கியமாக்குகிறது, ஏனெனில் தள்ளப்பட்ட தீர்வியை இப்போது சுரங்கம் வழியாக அணுகுகிறோம். இறுதிப்புள்ளி VPC DNS சேவையகங்களைக் குறிப்பிட்டால், அவற்றின் முகவரிகளுக்கு மற்ற எந்த இலக்கையும் போல வழி மூடல் மற்றும் அனுமதி தேவை. எந்தத் தோல்வி என்று பார்க்க தீர்வியிடம் நேரடியாகக் கேளுங்கள்: dig +short example.com @10.0.0.2, அல்லது nslookup example.com 10.0.0.2 Windows இல்.

எண்ணியல் URL பதிலளித்து பெயரிடப்பட்ட ஒன்று பதிலளிக்காதபோது, இயல்புநிலை வழியைத் திருத்துவதை நிறுத்தி DNS இல் வேலை செய்யுங்கள். IP முகவரிக்கான கோரிக்கை பெயரிடப்பட்ட மெய்நிகர் புரவலன் மற்றும் அதன் சான்றிதழ் பற்றி எதையும் நிரூபிக்காது, எனவே இறுதிச் சரிபார்ப்பில் ஒரு பெயரிடப்பட்ட சோதனையை வைத்திருங்கள்.

நேரம் உதவுகிறது. சில வினாடிகளில் பதிலைப் பெறாத TCP இணைப்பு வழிப்படுத்தல் அல்லது வடிகட்டியைச் சுட்டுகிறது, ஆனால் பெயர்த் தேடலுக்குள் தொங்கும் கோரிக்கை தீர்வியைச் சுட்டுகிறது. தீர்வி அணுக முடியாத நிலையில் இயல்புநிலை வழியை மாற்றுவது பொதுவாக ஒரு தோல்வியை இரண்டாக மாற்றும்.

தூய்மையாகப் பின்னால் கொண்டு செல்லுங்கள், பின்னர் வெளியேற்றப் பாதையைச் சரிபார்க்கவும்

இரண்டு பொருட்களும் கூட்டல் தன்மை கொண்டவை, எனவே பின்னால் கொண்டு செல்வது பழுதுநீக்கமல்ல, நீக்கமே:

aws ec2 delete-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --target-vpc-subnet-id subnet-0a1b2c3d4e5f67890
aws ec2 delete-client-vpn-authorization-rule \
  --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 \
  --destination-cidr-block 0.0.0.0/0 \
  --access-all

மீண்டும் இணைந்து போக்குவரத்து எந்தப் பாதையில் வெளியேறுகிறது என்று உறுதிப்படுத்துங்கள். கவனிக்கப்பட்ட பொது முகவரியை NAT நுழைவாயிலின் மீள்திறன் IP முகவரியுடனோ அல்லது நீங்கள் பயன்படுத்த நினைத்த இணைய நுழைவாயிலுடனோ ஒப்பிட்டு, அதே அமர்வில் தனிப்பட்ட வளம் இன்னும் பதிலளிக்கிறதா எனப் பாருங்கள்.

சிறிய பட்டியலுடன் முடித்து, கடைசி உருப்படியை ஆவணமாக அல்ல, மாற்றத்தின் பகுதியாகக் கருதுங்கள்:

  • ஒவ்வொரு இணைக்கப்பட்ட துணை வலைப்பிணையத்திற்கும் ஒரு 0.0.0.0/0 இறுதிப்புள்ளி வழி.
  • நீங்கள் சேவை செய்ய விரும்பும் வாடிக்கையாளர்களுக்கு 0.0.0.0/0 மூடும் அனுமதி விதி.
  • ஒவ்வொரு இணைக்கப்பட்ட துணை வலைப்பிணையத்திலும் blackhole இல்லாத VPC இயல்புநிலை வழி.
  • இணைப்பு பாதுகாப்புக் குழுவின் வெளியேற்றம், மேலும் ACL திரும்பும் போக்குவரத்து.
  • தீர்வி முகவரிகள் வழிப்படுத்தப்பட்டு அனுமதிக்கப்பட்டு, பெயரிடப்பட்ட கோரிக்கையால் சரிபார்க்கப்பட்டது.
  • வழி மற்றும் விதிக்கான பதிவுசெய்யப்பட்ட பின்னடைவு.

ஒரு எல்லைக் குறிப்பு: இது IPv4 பாதை. இரட்டை அடுக்கு வாடிக்கையாளர் ஏற்கனவே உள்ள IPv6 இணைப்பைத் தக்க வைத்துக் கொள்ளும், எனவே IPv6 இயல்புநிலை வழி இதன் பக்கவிளைவு அல்ல, அதன் சொந்த அனுமதியுடன் கூடிய தனி முடிவு.

தொடர்புடைய கட்டுரைகள்