பொருந்தும் வழி இல்லாமல் AWS Client VPN ட்ராஃபிக்கை ஏன் கைவிடுகிறது

Client VPN வாடிக்கையாளருக்கு ஒரு முகவரியைத் தருகிறது, கைக்குலுக்கல் முடிகிறது, இணைப்பு இருந்தும் எங்கும் செல்லவில்லை. சான்றிதழ்கள் அல்லது வாடிக்கையாளர் பதிப்புகளைத் தொடுவதற்கு முன் முனையின் சொந்த வழி அட்டவணையைப் பாருங்கள். AWS Client VPN முனை தனது வழிகளில் ஒன்று இலக்கு முன்னொட்டை மறைக்கும்போது மட்டுமே பொதியை அனுப்புகிறது; எதுவும் பொருந்தவில்லை என்றால், பொதி முனையிலேயே கைவிடப்படும், இலக்கு புரவலன் SYN-ஐ ஒருபோதும் பார்க்காது.

இது அனுப்புதல் முடிவு, அங்கீகார முடிவு அல்ல. சுரங்கப்பாதை எழுந்த பிறகும் அனுமதி விதிகள் மதிப்பிடப்பட்ட பிறகும் இது நிகழ்கிறது, அதனால்தான் செல்லுபடியாகும் சான்றிதழும் செல்லுபடியாகும் குழுவும் இருந்தும் இறந்த இணைப்பு ஏற்படலாம்.

முனை தனது வழி அட்டவணை மறைப்பதை மட்டுமே அனுப்புகிறது

ஒவ்வொரு வழியும் இலக்கு CIDR மற்றும் ட்ராஃபிக்கைப் பெற வேண்டிய துணை வலையம். முனை வாடிக்கையாளரின் இலக்கை அந்தப் பட்டியலுடன் ஒப்பிட்டு, பொருந்தும் பதிவைத் தேர்ந்தெடுத்து, பொதியை தொடர்புடைய துணை வலையத்திற்கு அனுப்புகிறது. பதிவு இல்லை என்றால் அடுத்த தாவல் இல்லை.

வழி எது அல்ல என்பதைக் கவனியுங்கள். இது VPC வழி அட்டவணையின் பதிவு அல்ல, எதற்கும் அனுமதி தரவில்லை. அனுமதி விதிகள் ஒரு குழு இலக்கை அடைய முடியுமா என்பதைத் தீர்மானிக்கின்றன; வழிகள் முனைக்கு பொதியை அனுப்ப இடம் உள்ளதா என்பதைத் தீர்மானிக்கின்றன. இரண்டும் பொருந்த வேண்டும், அவை வெவ்வேறு அறிகுறிகளுடன் தோல்வியடைகின்றன, எனவே எது உடைந்தது என்று ஊகிப்பது முழு பிற்பகலையும் வீணாக்கும்.

வழக்கமான பொருந்தாமை என்பது peer செய்யப்பட்ட VPC. புரவலன் 10.20.4.0/24 இல் வாழும்போது யாரோ 10.20.0.0/24 க்கு வழியைச் சேர்க்கிறார்கள், எனவே முகவரி ஒவ்வொரு பதிவுக்கும் வெளியே விழுகிறது. வாடிக்கையாளர் பக்கப் பிடிப்பு பதில் இல்லாமல் மீண்டும் மீண்டும் SYN காட்டுகிறது, இலக்கின் பதிவுகள் எதையும் காட்டவில்லை.

சான்றிதழுக்கு முன் வழிப் பட்டியலைப் படியுங்கள்

முனையின் வழிகள் தனி பொருள், எனவே VPC அட்டவணையைப் படிப்பதற்குப் பதிலாக அவற்றை நேரடியாகக் கேளுங்கள்:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-0123456789abcdef0 --query 'Routes[].{Dest:DestinationCidr,Target:TargetSubnet,Origin:Origin}'

தோல்வியடையும் வாடிக்கையாளரிடமிருந்து சரியான முகவரி மற்றும் முன்னொட்டு நீளத்தை எடுத்து, பின்னர் மறைப்பை எழுத்து எழுத்தாகச் சரிபாருங்கள். நீளமான முன்னொட்டுப் பொருத்தம் பொருந்தும், எனவே குறுகிய வழி வேறெங்கோ சுட்டும்போது அகலமான வழி உங்களைக் காப்பாற்றாது.

for_each உடன் ஒவ்வொரு இலக்கிற்கும் ஒரு வளம்

கையால் எழுதப்பட்ட வழித் தொகுதிகள் யாரோ கன்சோலில் முன்னொட்டைச் சேர்க்கும் அந்தக் கணமே நகரும். இலக்குகளை ஒரு வரைபடத்தில் வைத்து ஒவ்வொரு விசைக்கும் ஒரு வளத்தை உருவாக்குங்கள், அப்போது ஒவ்வொரு சேர்ப்பும் நீக்கமும் தனிமைப்படுத்தப்பட்டே இருக்கும்.

variable "client_vpn_routes" {
  type = map(string)
  default = {
    "10.20.0.0/16"  = "subnet-0aa11bb22cc33dd44"
    "172.31.0.0/20" = "subnet-0aa11bb22cc33dd44"
  }
}

resource "aws_ec2_client_vpn_route" "this" {
  for_each               = var.client_vpn_routes
  client_vpn_endpoint_id = var.client_vpn_endpoint_id
  destination_cidr_block = each.key
  target_vpc_subnet_id   = each.value
  depends_on             = [aws_ec2_client_vpn_network_association.this]
}

வலைய இணைப்பின் சார்பை வைத்திருங்கள். வழிக்கு இணைக்கப்பட்ட துணை வலையம் தேவை, எனவே இரண்டையும் உருவாக்கும் apply முதலில் இணைப்பை வரிசைப்படுத்த வேண்டும், அந்தக் குறிப்பு இல்லாமல் Terraform முதலில் வழியை முயற்சிக்கச் சுதந்திரமாக உள்ளது. பின்னர் திட்டத்தைப் படியுங்கள்: வழிச் சேர்ப்புகளின் எண்ணிக்கை நீங்கள் சேர்த்த முன்னொட்டுகளுடன் பொருந்த வேண்டும். திட்டம் முனையையும் மாற்றினால், முனை வளம் தவறாக எழுதப்பட்டுள்ளது, அதைப் பயன்படுத்தினால் இணைக்கப்பட்ட ஒவ்வொரு வாடிக்கையாளரும் துண்டிக்கப்படும்.

நீங்கள் உருவாக்காத முனையை ஏற்றுக்கொள்வது

பெரும்பாலான குழுக்கள் கன்சோலில் கட்டப்பட்ட முனையை மரபாகப் பெறுகின்றன, அதனால்தான் வழிக் குறியீடு இல்லை. வழிகளை Terraform இல் கொண்டு வர மட்டும் இரண்டாவது முனையை நிறுத்த வேண்டாம்.

அதற்குப் பதிலாக இறக்குமதி செய்யுங்கள், அல்லது ids-ஐ மாறிகளாக அனுப்பி மரபு பொருட்களை நிர்வகிப்பின்றி விடுங்கள். இறக்குமதிக்கு ஒவ்வொரு வள வகைக்கும் வழங்குநர் ஆவணப்படுத்தும் அடையாள வடிவம் தேவை; அது முனை, இலக்கு முன்னொட்டு மற்றும் இலக்கு துணை வலையத்தை குறியாக்குகிறது. அந்தச் சரத்தை நினைவிலிருந்து உருவாக்குவதற்குப் பதிலாக வள ஆவணத்திலிருந்து நகலெடுங்கள், ஒரு திட்டத்தை இயக்குங்கள், புதிதாக எதையும் சேர்ப்பதற்கு முன் எந்த மாற்றமும் இல்லை என்று எதிர்பாருங்கள்.

பொதி பயணிக்கும் வரிசையிலேயே அதைக் கண்டறியுங்கள்

வழி இருந்தும் இணைப்பு தோல்வியடைந்தால், மேல் அடுக்கில் ஊகிக்காமல் பாதையை வரிசையாக நடங்கள்.

1. வழி: முன்னொட்டு இலக்கை மறைத்து முனையுடன் தொடர்புடைய துணை வலையத்தைச் சுட்டுகிறது.
2. அனுமதி: அனுமதி விதி பயனரின் குழுவிற்கு அந்த இலக்கை அனுமதிக்கிறது. வழி மட்டும் ஒருபோதும் அணுகலைத் தராது.
3. திரும்பும் பாதை: இலக்கு துணை வலையத்தின் வழி அட்டவணை பதில்களை முனை நோக்கித் திருப்பி அனுப்புகிறது, பாதுகாப்புக் குழு வாடிக்கையாளர் முகவரிக் குளத்திலிருந்து துறையை அனுமதிக்கிறது.
4. பயன்பாடு: வாடிக்கையாளரிடமிருந்து உண்மையான TCP இணைப்பைத் திறந்து, பின்னர் இலக்கின் பதிவுகள் குளத்திலிருந்து எதிர்பார்க்கப்பட்ட மூல முகவரியைக் காட்டுகின்றன என்பதை உறுதிப்படுத்துங்கள்.

ஒவ்வொரு apply க்கும் ஒரு முன்னொட்டை மாற்றுங்கள், பின்னர் வழிப் பட்டியலை மீண்டும் படியுங்கள், இலக்கு, அனுமதிக்கும் விதி மற்றும் திரும்பும் பாதையை ஒன்றாகப் பதிவு செய்யுங்கள். நிராகரிக்கப்பட்ட இணைப்பை அடுத்து பிழைத்திருத்துபவர் சான்றிதழ் கோட்பாட்டிலிருந்து அல்ல, இந்தப் பட்டியலிலிருந்து தொடங்க வேண்டும்.