EC2 இல் strongSwan: VPC பணிச்சுமையை வழிநடத்தட்டும்

சுரங்கப்பாதை இயங்குகிறது, நுழைவாயில் நிகழ்வால் தொலை வலையத்தை பிங் செய்ய முடிகிறது, ஆனால் அதன் பக்கத்தில் உள்ள பயன்பாட்டு நிகழ்வால் எங்கும் செல்ல முடியவில்லை. எதுவும் உடைந்துவிடவில்லை. வெற்றிபெற்ற சோதனை VPN ஹோஸ்டில் தொடங்கியது, அந்த ஹோஸ்ட் அதே IPsec உறவின் வழியாக வேறொரு மூல முகவரியை எடுத்துச் செல்ல முடியுமா என்று அது ஒருபோதும் கேட்கவில்லை. இந்த கையேடு அந்த இடைவெளியை நான்கு படிகளில் மூடுகிறது, ஒவ்வொரு தோல்வியையும் தெரியும்படி வைக்கும் வரிசையில்.

முதலில் நான்கு முகவரிகளை எழுதுங்கள்

கீழே உள்ள ஒவ்வொரு படியும் இவற்றைக் குறிப்பிடுகிறது, எனவே வழிநடத்தல் அட்டவணையைத் தொடுவதற்கு முன் அவற்றை உங்கள் சொந்த கணக்கிற்கு நிரப்புங்கள்.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

எடுத்துக்காட்டு அங்கீகரிக்கப்பட்ட, இயங்கும் கொள்கை அடிப்படையிலான IPsec இணைப்பையும் மூலத்தைப் பாதுகாக்கும் ஓட்டத்தையும் கருதுகிறது. இது ஒரு ஒதுக்கப்பட்ட முகவரியைக் கடன் வாங்கும் NAT கொண்ட தொலை அணுகல் கிளையண்ட் அல்ல, அந்த வேறுபாடே தேர்விகளை மாற்ற வேண்டுமா என்று தீர்மானிக்கிறது.

படி 1: பணிச்சுமையின் துணைவலையத்திற்கு ஒரு வழியைக் கொடுங்கள்

பணிச்சுமையின் துணைவலையத்துடன் உண்மையில் இணைக்கப்பட்ட வழிநடத்தல் அட்டவணைக்கு தொலை முன்னொட்டுக்கு நுழைவாயிலின் வலைய இடைமுகத்தை நோக்கிச் செல்லும் பாதை தேவை. நிகழ்வின் உள்ளே நிறுவப்பட்ட விருந்தினர் வழி அந்த AWS வழிநடத்தல் அட்டவணையில் ஒரு உள்ளீடு அல்ல, எந்த strongSwan உள்ளமைவும் அதை உருவாக்காது.

AWS இன் சாதனம் வழியாக வழிநடத்தல் வழிகாட்டுதல் வலைய இடைமுக இலக்குகளையும் அனுப்பும் நிகழ்வின் மூல/இலக்கு சரிபார்ப்புத் தேவையையும் விவரிக்கிறது. அந்த சரிபார்ப்பு மாற்றத்தை நுழைவாயில் பங்கிற்கு மட்டுப்படுத்துங்கள், சாதாரண பயன்பாட்டு நிகழ்வுகளை அமைதியாக விடுங்கள்.

ஒரு அங்கீகரிக்கப்பட்ட வலையத்திற்கு இடம் செய்ய VPC இன் உள்ளூர் வழியையோ ஒவ்வொரு இருக்கும் உள்ளீட்டையோ மாற்ற வேண்டாம். எது இணைக்கப்பட்டு செயலில் உள்ளது என்பதை ஆராயுங்கள், யாரும் பயன்படுத்தாத வழிநடத்தல் அட்டவணைக்கு பணியகப் பக்கம் என்ன காட்டுகிறது என்பதை அல்ல. ஒரே மாதிரி தோன்றும் இரண்டு அட்டவணைகளுக்கு வெவ்வேறு இணைப்புகள் இருக்கலாம். முக்கியமானது பணிச்சுமையின் துணைவலையம் இணைக்கப்பட்ட அட்டவணையே.

படி 2: விருந்தினரில் அனுப்புதலை இயக்குங்கள்

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

கர்னல் அனுப்ப வேண்டும், ஹோஸ்ட் ஃபயர்வால் கடந்து செல்ல அனுமதிக்க வேண்டும். எல்லாவற்றையும் ஏற்பதற்குப் பதிலாக பணிச்சுமை மற்றும் தொலை முன்னொட்டுகளுக்கான நோக்கம் கொண்ட அனுப்புதல் விதிகளைச் சேருங்கள், நுழைவாயில் துணைவலையம் தன் சொந்தப் போக்குவரத்துக்கு பயன்படுத்தக்கூடிய போக்குவரத்து வழியைத் தக்கவைத்துக்கொள்கிறது என்பதை உறுதிப்படுத்துங்கள்.

பாதுகாப்புக் குழுக்களே இந்தப் படி பொதுவாக நிற்கும் இடம். இடைநிலைச் சாதனம் நேரடி நிகழ்வு தொடர்பின் பாதுகாப்புக் குழு குறிப்பு நடத்தைக்கு மரபுரிமை பெறாது, எனவே நிர்வகிக்கப்பட்ட Client VPN எடுத்துக்காட்டிலிருந்து நகலெடுத்த விதி ஒருபோதும் பொருந்தாமல் போகலாம். உண்மையான பாதையில் இரு திசைகளிலும் பாதுகாப்புக் குழு மற்றும் துணைவலைய ACL சரிபார்க்கவும்.

படி 3: தேர்விகளை உண்மையான மூலங்களுக்கு விரிவாக்குங்கள்

AWS பக்கத்தில் 10.60.1.10/32 ஐ மட்டும் உள்ளடக்கும் கொள்கை 10.60.2.20 ஐ உள்ளடக்காமல் நுழைவாயிலில் தொடங்கிய வெற்றியை விளக்குகிறது. தொலை இலக்கை நோக்கிய வழி எந்தப் போக்குவரத்து தேர்வியையும் விரிவாக்காது, அதுவே அதே ஆச்சரியத்தின் இரண்டாம் பாதி.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

ஒப்புக்கொள்ளப்பட்ட வடிவமைப்பு முழு VPC யையும் பாதுகாக்குமானால், இரு தரப்பும் 10.60.0.0/16 மற்றும் 10.90.0.0/24 ஐ ஏற்க வேண்டும். அது ஒரு பணிச்சுமையைப் பாதுகாக்குமானால், அந்தக் குறுகலான முன்னொட்டை வேண்டுமென்றே பயன்படுத்துங்கள். எப்படியிருந்தாலும், நிறுவப்பட்ட CHILD-SA கொள்கையை ஆராயுங்கள், ஏனெனில் நீங்கள் திருத்திய உள்ளமைவும் அதை வேறு விதமாகக் குறுக்கிய தரப்பும் ஒரே ஒப்பந்தம் அல்ல.

தொலைத் தளமும் பாதுகாக்கப்பட்ட VPC மூலங்களுக்கான பதில்களை நோக்கம் கொண்ட IPsec நுழைவாயில் வழியாகத் திரும்ப வழிநடத்த வேண்டும். வேறு மூல NAT விதிகள் உள்ள இடங்களில் பாதுகாக்கப்பட்ட போக்குவரத்துக்கான ஆதரவு NAT விதிவிலக்கை வைத்திருங்கள்; அங்கீகரிக்கப்படாத பணிச்சுமையை அனுமதிக்கப்பட்ட ஹோஸ்ட் முகவரியாக மாற்றுவது மற்றொரு அடையாள ஒப்பந்தம், நீங்கள் விரும்பிய அணுகலுக்கான குறுக்குவழி அல்ல.

படி 4: சரிபார்த்து, தேவைப்பட்டால் திரும்பப் பெறுங்கள்

பணிச்சுமையிலிருந்தே புதிய அனுமதிக்கப்பட்ட பயன்பாட்டுச் செயல்பாட்டுடன் சோதியுங்கள், பின்னர் விலக்கப்பட வேண்டிய இலக்குடன் மீண்டும் செய்யுங்கள். தொலைச் சேவை காணும் மூல முகவரியையும் அது பயன்படுத்தும் திரும்பும் பாதையையும் பதிவு செய்யுங்கள். நுழைவாயிலுக்கு பிங் அல்லது பச்சை IKE நிலை அந்தச் சோதனை அல்ல.

நுழைவாயில் இயங்கும்போதும் பணிச்சுமை தோல்வியடைந்தால், படிகளின் வழியாக வரிசையாகப் பின்னோக்கிச் செல்லுங்கள்: தேர்வி, பின்னர் அனுப்புதல் மற்றும் பாதுகாப்புக் குழுக்கள், பின்னர் இணைக்கப்பட்ட வழிநடத்தல் அட்டவணை. ஒவ்வொன்றுக்கும் தனி அறிகுறி உள்ளது, ஊகம் உண்மையில் தவறானதைத் தவிர்த்துவிடும்.

திரும்பப் பெறுவது அதே வரிசையைத் தலைகீழாக்குகிறது. பணிச்சுமையின் துணைவலைய வழியைக் கடைசியாக அகற்றுங்கள், முந்தைய தேர்விகளை மீட்டெடுத்த பிறகு, அதன் மூலங்களை இனி பாதுகாக்காத நுழைவாயிலை நோக்கிச் செல்லும் துணைவலையத்தை விடாதிருக்க. இந்த ஒப்பந்தங்கள் நிலைத்திருக்கும்போது சுய-ஹோஸ்டிங் நுழைவாயில் ஹோஸ்டை விட அதிகமாகச் சேவை செய்யலாம், AWS நிர்வகிக்கும் Site-to-Site VPN வேறொரு இயக்க மாதிரி, அங்கு strongSwan அதற்குப் பதிலாக வாடிக்கையாளர் நுழைவாயில் முனையில் அமரலாம்.