VGW அல்லது TGW? AWS Site-to-Site இன் IPsec சுரங்கம் எங்கு முடிகிறது

AWS Site-to-Site VPN பாக்கெட்டைப் பாதுகாப்பதை எங்கு நிறுத்துகிறது என்று மக்கள் கேட்டு ஒரே பதிலை எதிர்பார்க்கிறார்கள்: நுழைவாயிலில். அந்தப் பதிலின் பயனுள்ள வடிவம் எந்த நுழைவாயில் என்று பெயரிடுகிறது, ஏனெனில் மெய்நிகர் தனியார் நுழைவாயிலும் டிரான்சிட் நுழைவாயிலும் வெவ்வேறு இணைப்புப் பொருட்களைக் கொண்ட வெவ்வேறு ஏற்பாடுகள், தவறானதைக் கருதும் மதிப்பாய்வாளர் இல்லாத வரைபடத்தின் மீது மீதமுள்ள மதிப்பீட்டைக் கட்டுகிறார். கீழேயுள்ள மூன்று சோதனைகளை வரிசையாகச் செய்யுங்கள். ஒவ்வொன்றும் எல்லையை உறுதிப்படுத்துகிறது அல்லது முந்தைய பதில் வேறொரு வளத்தைப் பற்றியது என்று சொல்கிறது.

எதையும் மதிப்பிடும் முன் மூன்று முனைப் புள்ளிகளையும் பெயரிடுங்கள்

இந்தப் பாதையின் குறியாக்க மதிப்பாய்வுக்கு மூன்று பெயரிடப்பட்ட விஷயங்கள் தேவை: வாடிக்கையாளர் நுழைவாயில், IPsec ஐ முடிக்கும் AWS VPN இலக்கு, மற்றும் உள் பாக்கெட்டைப் பெறும் பயன்பாட்டு முனைப் புள்ளி. ஒரு கன்சோல் பக்கத்தைக்கூடத் திறக்கும் முன் அவற்றை அவற்றின் வள அடையாளங்காட்டிகளுடன் எழுதுங்கள், ஏனெனில் இந்தப் புள்ளிக்குப் பிறகு எல்லாமே அந்த மூன்றில் ஒன்றைப் பற்றிய கூற்றே.

வாடிக்கையாளர் நுழைவாயில் உங்களுடையது, அதன் உள்ளமைவு உங்களுக்குத் தெரியும். AWS இலக்கு ஒரு நிர்வகிக்கப்பட்ட வளம், தவறு அதைக் கருதுவதுதான்: VPN இணைப்பு ஒரு மெய்நிகர் தனியார் நுழைவாயிலுடன் அல்லது நேரடியாக டிரான்சிட் நுழைவாயிலுடன் இணையலாம், எதுவும் மற்றதைக் குறிக்காது. மூன்றாவது முனைப் புள்ளி மக்கள் தவிர்ப்பது, பயன்பாட்டுத் தரவு பற்றிய உண்மையான கேள்விக்குப் பதில் தருவது அது மட்டுமே.

சோதனை 1: சுரங்கத்தை உண்மையில் எந்த நுழைவாயில் முடிக்கிறது

இரண்டு ஏற்பாடுகளும் ஆதரிக்கப்படுகின்றன, Site-to-Site VPN கட்டமைப்பு வழிகாட்டி அவற்றை அருகருகே விவரிக்கிறது, எனவே பெரும்பாலும் ஓராண்டுப் பழைய வரைபடத்திற்குப் பதிலாக API யைக் கேளுங்கள். ஒரு இணைப்பில் வாசிப்பு-மட்ட கேள்வி VPN இலக்குப் புலங்களைத் திருப்பித் தருகிறது:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

வேறுபடுத்தி TransitGatewayId, VpnGatewayId அல்ல. TransitGatewayId காலியாக உள்ள இணைப்பு தனித்த மெய்நிகர் தனியார் நுழைவாயிலில் முடிகிறது, அந்தப் புலம் அமைக்கப்பட்ட இணைப்பு டிரான்சிட் நுழைவாயிலின் VPN இணைப்பில் முடிகிறது, அந்தச் சந்தர்ப்பத்தில் VpnGatewayId இன்னும் நிரப்பப்பட்டிருக்கலாம், ஏனெனில் அது இணைப்பின் தாங்கு நுழைவாயிலைப் பெயரிடலாம். முதலில் TGW புலத்தைப் படியுங்கள், பிறகு இணைப்பு வகையைப் புலப் பெயரிலிருந்து அல்ல, இணைப்புப் பட்டியலிலிருந்து உறுதிப்படுத்துங்கள், ஏனெனில் அந்த டிரான்சிட் நுழைவாயிலில் உள்ள VPC இணைப்பு VPN இணைப்பு அல்ல. இணைக்கப்பட்ட VPC இல் இலக்கு இன்ஸ்டன்ஸைக் கண்டுபிடிப்பது எந்த VPN இணைப்பு பாக்கெட்டை எடுத்துச் சென்றது என்பதைப் பற்றி எதுவும் சொல்லாது.

அங்கிருக்கும்போது சுரங்கங்களையும் சரிபாருங்கள். இணைப்பு மிகையாக்கத்திற்காக இரண்டு IPsec சுரங்கங்களைக் கொண்டு செல்கிறது, இரண்டாவது சுரங்கம் ஒருபோதும் எழாத இணைப்பு குறியாக்க எல்லையைப் பற்றி எதையும் மாற்றாவிட்டாலும் கிடைக்கும் தன்மைக்கான உண்மையான கண்டுபிடிப்பாகும்:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

சோதனை 2: உள் பாக்கெட் இன்னும் என்ன கொண்டு செல்கிறது

IPsec முடிந்ததும் AWS காப்சூல் நீக்கப்பட்ட பாக்கெட்டை அதற்குப் பொருந்திய பாதையில் அனுப்புகிறது. அந்தப் புள்ளியிலிருந்து போக்குவரத்து சாதாரண VPC போக்குவரத்து, VPN இன் பாதுகாப்பு முடிந்தது. இது சேவையில் ஒரு இடைவெளி அல்ல; இதுதான் எல்லையின் பொருள், சரிபார்ப்புப் பட்டியலின் புள்ளி அதைத் தெளிவாகச் சொல்வது, "VPN குறியாக்கப்பட்டுள்ளது" என்பதை "தரவு முதல் முதல் இறுதி வரை குறியாக்கப்பட்டுள்ளது" என்பதற்கு மாற்றாக நிற்க விடாமல்.

இப்போது உள்ளே என்ன இருந்தது என்று பாருங்கள். உள் பாக்கெட் வெற்று உரை பயன்பாட்டு நெறிமுறையாக இருந்தால், வேறு ஏதாவது அதைக் குறியாக்கும் வரை கீழே எதுவும் ரகசியத்தன்மையைச் சேர்க்காது. உள் பாக்கெட் ஏற்கனவே TLS அமர்வைக் கொண்டு சென்றால், வெளிப்புற IPsec ஐ அகற்றுவது அந்த அமர்வுக்கு எதையும் மாற்றாது: அது தன் சொந்த முனைப் புள்ளி வரை பாதுகாக்கப்பட்டே இருக்கும், அந்த முனைப் புள்ளி எங்கிருந்தாலும்.

வழக்கமான அதிகப்படியான திருத்தம் என்பது நுழைவாயிலுக்குப் பின்னால் உள்ள எல்லாம் வெளிப்படையானது என்று முடிவெடுப்பது. அப்படியல்ல. சேவைப் போக்குவரத்து, சேமிப்புக் குறியாக்கம், பயன்பாட்டு TLS ஆகியவை வெவ்வேறு நிபந்தனைகளைக் கொண்ட வெவ்வேறு வழிமுறைகள், ஒவ்வொன்றும் VPN இன் வடிவத்திலிருந்து ஊகிப்பதற்குப் பதிலாக அதன் சொந்த நிபந்தனைகளில் மதிப்பிடப்பட வேண்டும். ACCEPT காட்டும் ஓட்டப் பதிவு வழிசெலுத்தல் வேலை செய்ததை நிரூபிக்கிறது, ரகசியத்தன்மை பற்றி எதுவும் சொல்லவில்லை, இந்தப் பட்டியல் தடுக்கும் தவறு அதுவே.

சோதனை 3: நுழைவாயிலுக்குப் பின்னால் TLS ஐ எது முடிக்கிறது

முகவரியை அல்ல, கேட்பவரைப் பின்தொடருங்கள். சுமை சமநிலையாக்கி அல்லது ப்ராக்ஸி TLS ஐ முடித்தால், உங்கள் கிளையண்ட் வைத்திருக்கும் இணைப்பு அங்கே முடிகிறது, ப்ராக்ஸி பின்தளத்திற்கு இரண்டாவது இணைப்பைத் திறக்கிறது, அது வெற்று உரையாகவோ வேறு நம்பிக்கைச் சங்கிலி கொண்ட TLS ஆகவோ இருக்கலாம். தனியார் IP முகவரியும் பொருந்தும் பாதையும் அந்த இரண்டாவது இணைப்புக்கான ஆதாரம் அல்ல.

உண்மையில் உங்களுக்கு முக்கியமான முனைப் புள்ளியை VPC இன் உள்ளிருந்து சோதியுங்கள், ஒரு முறை தீர்த்த IP உடன் அல்ல, பயன்பாடு பயன்படுத்தும் பெயருடன்:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

கோரிக்கை கடக்கும் ஒவ்வொரு தாவலுக்கும் இதை மீண்டும் செய்யுங்கள். பதில் கிளையண்டை நோக்கிய பெயருக்கும் பின்தளப் பெயருக்கும் இடையே வேறுபட்டால், VPN ஒருபோதும் மூடாத அந்தப் பகுதியையே நீங்கள் கண்டுபிடித்தீர்கள், அதுவே எழுத வேண்டிய கண்டுபிடிப்பு.

முடிவைத் தீர்ப்பாக அல்ல, பகுதிகளாகப் பதிவு செய்யுங்கள்

இந்தப் பட்டியலின் வெளியீடு ஒவ்வொரு பகுதிக்கும் ஒரு வரியுடன் ஒரு சிறிய அட்டவணை: வாடிக்கையாளர் நுழைவாயிலிலிருந்து AWS VPN இலக்கு வரை, நுழைவாயிலிலிருந்து பணிச்சுமை வரை, பணிச்சுமையிலிருந்து தரவுச் சேமிப்பு வரை, இடையில் எந்தப் ப்ராக்ஸி தாவலும். ஒவ்வொரு வரியும் அதை எது பாதுகாக்கிறது, அந்தப் பாதுகாப்பு எதைச் சார்ந்தது என்று சொல்கிறது. வழிமுறையும் முனைப் புள்ளியும் இல்லாத "குறியாக்கப்பட்டது" ஒரு வரி அல்ல.

பிறகு அசல் தேவைக்கு அது கேட்கப்பட்ட அதே சொற்களில் பதிலளியுங்கள். பணிச்சுமை பெறும் வரை தரவு ரகசியமாக இருக்க வேண்டும் என்பது தேவையானால், VPN முதல் பகுதியை மட்டுமே பூர்த்தி செய்கிறது, மீதமுள்ள வரிகளுக்குப் பயன்பாட்டுப் போக்குவரத்து, சேவை TLS அல்லது சேமிப்புக் குறியாக்கம் தனித்தனியாக உள்ளமைக்கப்பட்டு சரிபார்க்கப்பட வேண்டும்.

இணைப்பு அடையாளங்காட்டிகள், சுரங்க நிலைகள், சான்றிதழ் பொருள்களைப் பதிவில் வைத்திருங்கள். ஆறு மாதங்களுக்குப் பிறகு யாராவது வடிவமைப்பை மீண்டும் பார்க்கும்போது, அந்த மூன்று உருவாக்கங்கள் வரைபடத்திலிருந்து விவாதத்தை மீண்டும் தொடங்காமல் நிமிடங்களில் எல்லைக் கேள்விக்குப் பதிலளிக்கின்றன.