ஒரு AWS Client VPN அமர்வுக்குப் பின்னால் LAN: எது அனுப்பப்படுகிறது

மடிக்கணினி AWS Client VPN முனைக்கு இணைகிறது, தனியார் துணைப்பிணையத்தை அடைகிறது, எல்லாம் ஆரோக்கியமாகத் தெரிகிறது. அதே LAN இல் உள்ள டெஸ்க்டாப் எதையும் அடையவில்லை, Linux ஹோஸ்டிலும் பாலம் இடைமுகம் உள்ளது, இரண்டு இயந்திரங்களும் ஒரே கம்பியில் உள்ளன. சுரங்கப்பாதையில் எதுவும் தவறாக அமைக்கப்படவில்லை; காணாமல் போன பகுதி வழித்தடம், பாலம் ஒரு தவறான துப்பு.

Client VPN அமர்வை LAN க்கு விரிவாக்குவது நுழைவாயில் பங்கு. இது நிர்வகிக்கப்பட்ட சேவைக்குள் இழுக்கப்பட்ட Ethernet பிரிவு அல்ல.

ஹோஸ்ட் இயங்குகிறது, LAN இயங்கவில்லை

Linux இயந்திரத்தின் சுரங்கப்பாதை இடைமுகத்திற்கு Client VPN கிளையண்ட் CIDR க்குள் முகவரி உள்ளது, முனை VPC வரம்புகளுக்கான வழித்தடங்களைத் தள்ளியுள்ளது. அந்த இயந்திரத்தில் செய்யப்படும் கோரிக்கை உள்நாட்டில் உருவாக்கப்பட்ட போக்குவரத்து: அது ஒரு வழியைத் தேர்ந்தெடுத்து, சுரங்கப்பாதை வழியாக வெளியேறி, பதிலைப் பெறுகிறது. அந்த பாதை ஒருபோதும் அனுப்புதல் குறியீடு, LAN இடைமுகம் அல்லது கடத்தலை நிர்வகிக்கும் எந்த தீவனச் சுவர் விதியையும் தொடுவதில்லை.

மற்றொரு LAN சாதனத்திலிருந்து வரும் போக்குவரத்து வேறு ஓட்டம். அது LAN இடைமுகத்திற்கு வருகிறது, சுரங்கப்பாதையை நோக்கிய வழி தேவை, அனுப்புதல் இயக்கப்பட்டிருக்க வேண்டும், அதை அனுமதிக்கும் தீவனச் சுவர் தேவை, மேலும் பதில் அதே ஹோஸ்ட் வழியாகத் திரும்ப வேண்டும். நான்கு நிபந்தனைகள், இயங்கும் மடிக்கணினி சோதனை அவற்றில் ஒன்றையும் நிரூபிக்கவில்லை. டெஸ்க்டாப்பில் தோல்வி விநோதமாகத் தெரிகிறது: சுரங்கப்பாதை இயங்குகிறது, சான்றுகள் செல்லுபடியாகும், இலக்கு ஒருபோதும் பதிலளிக்காது. குறைபாடு நுழைவாயிலின் அனுப்புதல் பாதையில் உள்ளூரானது, சேவையில் அல்ல.

ஒவ்வொரு கிளையண்டும் நுழைவாயிலாக முடியாது

AWS தனது Client VPN டெஸ்க்டாப் பயன்பாடு IP அனுப்புதலை ஆதரிக்காது என்றும், மற்ற கிளையண்ட்கள் ஆதரிக்கலாம் என்றும் கூறுகிறது. அந்த கட்டுப்பாடு எந்த கட்டளையும் தட்டச்சு செய்வதற்கு முன்பே கட்டமைப்பைத் தீர்மானிக்கிறது. கிடைக்கும் ஒரே கிளையண்ட் அதிகாரப்பூர்வ டெஸ்க்டாப் பயன்பாடாக இருந்தால், LAN க்காக அனுப்பும் Linux நுழைவாயில் நீங்கள் முடிக்கக்கூடிய கட்டமைப்பு அல்ல, எவ்வளவு masquerading செய்தாலும் அதை மாற்றாது.

மாற்று கிளையண்ட் முனையின் அங்கீகார முறை மற்றும் நீங்கள் நடைமுறைப்படுத்த விரும்பும் கொள்கையுடனும் பொருந்த வேண்டும். சான்றிதழ் அடிப்படையிலான, அடைவு அடிப்படையிலான மற்றும் SAML ஆதரவு முனைகள் ஒரே கிளையண்ட் கட்டமைப்புகளை ஏற்காது, அங்கீகாரம் செய்து ஆனால் தள்ளப்பட்ட வழித்தடங்களைப் புறக்கணிக்கும் மூன்றாம் தரப்பு கிளையண்ட் மேம்பாடு அல்ல.

கிளையண்ட் தேர்வை வடிவமைப்பு மறுஆய்வின் பகுதியாகக் கருதுங்கள். LAN அனுப்புதல் முறை மொத்தத்தில் கிடைக்கிறதா என்பதையும், நுழைவாயிலுக்குப் பின்னால் உள்ள ஒவ்வொரு சாதனத்திற்கும் முனை எந்த அடையாளத்தைப் பார்க்கிறது என்பதையும் அது தீர்மானிக்கிறது. கிளையண்ட் மற்றும் அது சோதிக்கப்பட்ட முனை கட்டமைப்பைப் பதிவு செய்யுங்கள். ஆறு மாதங்களுக்குப் பிறகு கிளையண்ட் மாற்றம் வடிவமைப்பு கருதிய திறனை அமைதியாக நீக்கக்கூடும்.

LAN ஐ சுரங்கப்பாதைக்கு திருப்பி மொழிபெயர்க்கவும்

ஆதரவு பெற்ற கிளையண்ட் இருந்தால் மீதமுள்ளது சாதாரண நுழைவாயில் வேலை. LAN சாதனங்களுக்கு VPC வரம்பிற்கான Linux ஹோஸ்டை நோக்கிய வழி தேவை, ஹோஸ்டிற்கு அனுப்புதல் இயக்கப்பட்டிருக்க வேண்டும். VPC போக்குவரத்தை தன்னிச்சையான LAN முகவரியாக அல்ல, இணைக்கப்பட்ட கிளையண்டாகப் பார்க்க வேண்டும் எனில், வெளியேறும் போது மூலத்தை மொழிபெயர்க்கவும்.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

விதியை மேலே உள்ளபடி சுரங்கப்பாதை இடைமுகம் மற்றும் VPC வரம்பிற்கு மட்டுப்படுத்துங்கள், ஹோஸ்ட் அனுப்பும் அனைத்தையும் masquerade செய்வதற்குப் பதிலாக. குறுகிய விதியைப் பற்றி சிந்திப்பது எளிது, அது தனது அசல் மூல முகவரியைத் தக்கவைக்க வேண்டிய போக்குவரத்தை அமைதியாக மாற்றாது.

முடிந்தால் LAN வழி தானாக வரட்டும்: DHCP விருப்பம், திசைவழியாக்கி அறிவிப்பு அல்லது LAN ஐ நிர்வகிப்பது தள்ளும் நிலையான வழி. ஒரே சோதனை இயந்திரத்தில் மட்டுமே உள்ள வழி, வேறு யாராவது முயற்சிக்கும் தருணத்தில் வடிவமைப்பை உடைந்ததாகக் காட்டும்.

பதிலுக்கும் ஒரு பாதை தேவை

கோரிக்கை VPC ஐ அடைந்ததும், பதில் அதே மொழிபெயர்ப்பு நிலைகள் வழியாகத் திரும்பி நுழைவாயிலில் LAN வழியைக் கண்டறிய வேண்டும். அந்த பகுதி பொதுவாக masquerade விதி இருந்தால் வேலை செய்கிறது, ஏனெனில் வரைபடம் அதைச் செய்த ஹோஸ்டில் வாழ்கிறது. VPC பக்கத்தில் பதிலை வேறு இடத்திற்கு அனுப்பும் வழி இருந்தால் அது உடையும், அதனால்தான் கிளையண்ட் CIDR வழி மற்றும் முனையில் உள்ள துணைப்பிணைய இணைப்பு இரண்டும் முக்கியம்.

ping மட்டுமல்ல, கணக்குகளைப் பாருங்கள். பூஜ்ஜிய பாக்கெட்டுகள் கொண்ட masquerade விதி கோரிக்கை ஒருபோதும் சுரங்கப்பாதை இடைமுகத்தை அடையவில்லை என்று சொல்கிறது, இது LAN வழி அல்லது கிளையண்டின் சொந்த வழித்தட அட்டவணையை நோக்கிக் காட்டுகிறது. பாக்கெட்டுகள் உள்ளன ஆனால் பதில்கள் இல்லாத விதி VPC பக்கம், அனுமதி விதிகள் அல்லது மொழிபெயர்க்கப்பட்ட மூலத்தை ஏற்காத பாதுகாப்புக் குழுவை நோக்கிக் காட்டுகிறது. எதையும் மாற்றும் முன் இரு திசைகளையும் படியுங்கள், ஏனெனில் ஒரு பக்கத்தில் மட்டும் வளரும் எண்ணிக்கை மெதுவான பாதை அல்ல, ஒரு வழிப் பாதை.

முனை ஒரு நிர்வகிக்கப்பட்ட சேவை என்பதை நினைவில் கொள்ளுங்கள். திருத்த சேவையக கட்டமைப்பு கோப்பும் இல்லை, சேர்க்க client-config வழிமுறையும் இல்லை, எனவே தனிப்பயன் கிளையண்ட் துணைப்பிணைய வழித்தடங்களைக் கொண்ட சுய-நிர்வகிக்கப்பட்ட OpenVPN சேவையகத்திற்காக எழுதப்பட்ட வழிமுறைகள் மாற்றப்படுவதில்லை. AWS இல் நெம்புகோல்கள் துணைப்பிணைய இணைப்பு, அனுமதி விதிகள் மற்றும் VPC வழித்தட அட்டவணைகள்.

பகிரப்பட்ட அடையாளம் என்பது கொள்கை பதிலளிக்க வேண்டிய பகுதி

நுழைவாயிலுக்குப் பின்னால் உள்ள ஒவ்வொரு சாதனமும் நுழைவாயிலின் VPN அமர்வைப் பயன்படுத்துகிறது. முனையின் அனுமதி விதிகள் ஒரு பயனர் அல்லது குழுவுக்கு அணுகலை வழங்குகின்றன, சேவையின் பார்வையில் அந்த அமர்வில் சரியாக ஒரு பயனர் மட்டுமே உள்ளார். உள்ளூர் அனுப்புதல் அந்த அடையாளத்தை ஒவ்வொரு சாதன அங்கீகாரமாகப் பெருக்காது, மூலையில் உள்ள அச்சுப்பொறி வரை சாதன நிலை சோதனைகளை விரிவாக்காது.

அது ஏற்கத்தக்கதாக இருக்கலாம், அல்லது வடிவமைப்பு நிராகரிக்கப்படுவதற்கான காரணமாக இருக்கலாம். VPC வளங்கள் யார் அழைக்கிறார்கள் என்பது பற்றி என்ன கருதுகின்றன என்பதைப் பொறுத்தது. அனுமதி மாதிரிக்குப் பொருந்தும் பகிரப்பட்ட அடையாளம் நல்லது; ஒரு அங்கீகரிக்கப்பட்ட அமர்வை அமைதியாக முழு LAN அணுகலாக மாற்றுவது எழுதப்படக் காத்திருக்கும் கண்டுபிடிப்பு.

தேவை உண்மையில் முழு தளத்தையும் VPC உடன் இணைப்பதாக இருந்தால், தொலை அணுகல் கிளையண்டை விரிவாக்குவதற்கு முன் ஆதரவு பெற்ற தள-க்கு-தள வடிவமைப்பை ஒப்பிடுங்கள். பொருள் வேறுபடுகிறது, VPC LAN க்குள் இணைப்புகளைத் தொடங்க வேண்டியிருக்கும் போது NAT செய்யப்பட்ட கிளையண்ட் அமர்வு தள இணைப்பிற்கு மோசமான மாற்று.

கிளையண்ட், வழி, மொழிபெயர்ப்பு மற்றும் அடையாளக் கதையை அதே வரிசையில் முடிவு செய்யுங்கள். ஒவ்வொன்றும் அடுத்ததைக் கட்டுப்படுத்துகிறது, இந்த வரிசை ஹோஸ்ட் ஏன் இயங்குகிறது ஆனால் LAN இயங்கவில்லை என்பதை விளக்குகிறது.