EC2 లో Access Server పూర్తి టన్నెల్: ఒక చెక్‌బాక్స్ ఎందుకు సరిపోదు

EC2 ఇన్స్టాన్స్‌పై మూలం మరియు గమ్యం తనిఖీని నిలిపివేయడం Access Server ఇంటర్నెట్ నిష్క్రమణ గురించి అడిగే ప్రశ్నలకు అత్యధికంగా పునరావృతమయ్యే సమాధానం, మరియు అది ఒంటరిగా మీ క్లయింట్లకు ఏమీ చేయదు. తనిఖీ అనేది AWS ఫార్వార్డింగ్ పరిమితి: ఇన్స్టాన్స్ తన సొంత చిరునామా కాని మూలం లేదా గమ్యం ఉన్న ప్యాకెట్లను స్వీకరించేలా చేస్తుంది. క్లయింట్‌ను ఇంటర్నెట్ ట్రాఫిక్ టన్నెల్ ద్వారా పంపమని చెప్పదు, పైకి మార్గాన్ని సృష్టించదు, NAT జోడించదు. చెక్‌బాక్సే ఫీచర్ అనేది అపోహ.

తనిఖీ నిజంగా నియంత్రించేది

ప్రతి EC2 నెట్‌వర్క్ ఇంటర్‌ఫేస్ తన వైపు పంపని ట్రాఫిక్‌ను విసిరేస్తుంది, ఇన్స్టాన్స్ రౌటర్, NAT పరికరం లేదా VPN గేట్‌వేగా పనిచేస్తూ మీరు ఆ తనిఖీని నిలిపివేయకపోతే తప్ప. నిలిపివేయడం ఫార్వార్డ్ చేయడానికి అనుమతి ఇస్తుంది. అనుమతి కాన్ఫిగరేషన్ కాదు: ఇన్స్టాన్స్‌కు ఇంకా ఇంటర్నెట్ గేట్‌వే లేదా NAT పరికరానికి మార్గం కావాలి, VPC మార్గ పట్టికకు ఇంకా సరిపోయే నమోదు కావాలి, భద్రతా సమూహాలు ఇంకా ప్రవాహాన్ని అనుమతించాలి, మరియు సర్వర్ ఇంకా తిరిగి వచ్చే ట్రాఫిక్‌ను అనువదించాలి లేదా మార్గనిర్దేశం చేయాలి.

ఏదైనా మార్చే ముందు aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck తో ప్రస్తుత విలువను తనిఖీ చేయండి. మీరు కన్సోల్‌లో మార్చినట్లయితే, క్లయింట్ ఇంటర్నెట్‌ను చేరుకోలేకపోతున్నందున కాదు, ఇన్స్టాన్స్ ఇతరుల కోసం ఫార్వార్డ్ చేస్తున్నందున మార్చండి.

క్లయింట్ మార్గ విధానం Access Server ది

Access Server 3 లో Access Controls తెరిచి Internet Access and DNS విభాగాన్ని కనుగొనండి. Internet Gateway ఎంపిక పూర్తి లేదా విభజిత టన్నెల్‌ను అందిస్తుంది; పూర్తి టన్నెల్ క్లయింట్‌ను దాని డిఫాల్ట్ ట్రాఫిక్‌ను VPN లోపలికి మార్గనిర్దేశం చేయమని చెబుతుంది, విభజిత టన్నెల్ ఇంటర్నెట్ ట్రాఫిక్‌ను క్లయింట్ స్థానిక మార్గంలో వదిలివేస్తుంది. ఉత్పత్తి పని ప్రవాహం ద్వారా సేవ్ చేసి వర్తింపజేయండి, తర్వాత పరీక్షా క్లయింట్‌ను మళ్లీ కనెక్ట్ చేయండి, ఎందుకంటే విధానం కనెక్షన్ సమయంలో అందించబడుతుంది.

పాత విడుదలలు వేరే మెనూలను ఉపయోగిస్తాయి మరియు కొన్ని Community OpenVPN బిల్డ్‌లలో సమాన నియంత్రణ లేదు. లేని స్క్రీన్ కోసం వెతకడానికి ముందు ఇన్‌స్టాల్ చేసిన ప్రధాన వెర్షన్‌ను తనిఖీ చేయండి. తర్వాత క్లయింట్ ఏమి పొందిందో నిర్ధారించండి: పూర్తి టన్నెల్ ప్రొఫైల్ టన్నెల్ ద్వారా డిఫాల్ట్ మార్గాన్ని ఇన్‌స్టాల్ చేయాలి, విభజిత టన్నెల్ ప్రొఫైల్ అలా చేయకూడదు.

టన్నెల్ తర్వాత ప్యాకెట్‌ను ట్రేస్ చేయండి

క్లయింట్ ఇంటర్నెట్ ట్రాఫిక్‌ను టన్నెల్‌లోకి పంపిన తర్వాత సర్వర్ దాన్ని ఫార్వార్డ్ చేయాలి మరియు సాధారణంగా అనువదించాలి. Access Server తన సొంత NAT మరియు మార్గ నియమాలను నిర్వహిస్తుంది, కాబట్టి ఉత్పత్తి చేసిన ఫైళ్లకు Community OpenVPN నియమాలను జోడించడం బదులు ప్రభావవంతమైన కాన్ఫిగరేషన్ చదవండి; నిర్వహించని నియమాలు తదుపరి ఉత్పత్తి నవీకరణలో పైన రాయబడతాయి లేదా ఘర్షణ పడతాయి. sudo iptables -t nat -L -n -v లేదా nftables సమానం నిజంగా ఏమి అనువదించబడుతోందో చూపిస్తుంది.

AWS వైపు వేరే మార్గం. పబ్లిక్ సబ్‌నెట్‌లోని ఇన్స్టాన్స్ ఇంటర్నెట్ గేట్‌వేను నేరుగా చేరుకుని తన పబ్లిక్ చిరునామా లేదా సాగే IP ను నిలుచుంచుతుంది. ప్రైవేట్ సబ్‌నెట్‌లోని ఇన్స్టాన్స్‌కు NAT గేట్‌వే లేదా NAT ఇన్స్టాన్స్‌కు మార్గం కావాలి, NAT పరికరానికి ఇంటర్నెట్ గేట్‌వేకు తన సొంత మార్గం కావాలి. ఇంటర్నెట్ గేట్‌వేను VPC కు జోడించడం దానంతట అదే ఏ ప్రైవేట్ మూలానికీ పబ్లిక్ తిరిగి వచ్చే చిరునామా ఇవ్వదు, అందుకే అదే Access Server సెటప్ ఒక సబ్‌నెట్‌లో పనిచేసి మరొకదానిలో నిశ్శబ్దంగా విఫలమవుతుంది.

ఇన్స్టాన్స్ సబ్‌నెట్‌కు అనుబంధించిన మార్గ పట్టికను తనిఖీ చేయండి, VPC ప్రధాన పట్టికను మాత్రమే కాదు. సబ్‌నెట్ అనుబంధాలు ప్రధాన పట్టికను మించిపోతాయి, పాత అనుబంధం పనిచేసిన కాన్ఫిగరేషన్ పునర్నిర్మాణం తర్వాత ఆగిపోవడానికి సాధారణ కారణం.

IP నిష్క్రమణ మరియు DNS వేరుగా ఉంచండి

అదే క్లయింట్ యాప్ నుండి మొదట చిరునామా అక్షర రూపాన్ని, తర్వాత పేరును పరీక్షించండి. curl -4 https://checkip.amazonaws.com పబ్లిక్ చిరునామాను తిరిగి ఇచ్చినా హోస్ట్ పేర్లు విఫలమైతే, టన్నెల్ మరియు NAT మార్గం పనిచేస్తున్నాయి మరియు సమస్య DNS లో ఉంది: పంపిన రిజాల్వర్, క్లయింట్ రిజాల్వర్ స్థితి, లేదా రిజాల్వర్‌ను నిరోధించే భద్రతా సమూహం. Access Server DNS సెట్టింగ్‌లు అదే Internet Access ప్రాంతంలో ఉన్నాయి, కానీ అవి వేరే కోడ్ మార్గంలో ప్రయాణిస్తాయి.

తిరిగి వచ్చిన చిరునామాను మీరు ఉద్దేశించిన నిష్క్రమణతో పోల్చండి. అది ఇన్స్టాన్స్ పబ్లిక్ చిరునామా అయితే ట్రాఫిక్‌ను ఇన్స్టాన్స్ అనువదిస్తోంది; అది NAT గేట్‌వే చిరునామా అయితే ప్రైవేట్ సబ్‌నెట్ మార్గం ఉపయోగించబడుతోంది. రెండూ సరైనవి కావచ్చు. మీరు నిర్ధారించలేనిది ఏమిటంటే సర్వర్‌పై ఉన్న బ్రౌజర్ క్లయింట్ ఫార్వార్డింగ్‌ను నిరూపిస్తుంది అని.

ఒక చెక్‌బాక్స్ దర్యాప్తును మూసివేయనివ్వండి

IPv6 వేరే నిర్ణయం. IPv4 కోసం పూర్తి టన్నెల్ విధానం IPv6 రవాణా అవుతుందా, నిరోధించబడుతుందా లేదా లీక్ అవుతుందా అనే దాని గురించి ఏమీ చెప్పదు, మరియు ద్వంద్వ స్టాక్ క్లయింట్ IPv4 టన్నెల్‌లో ఉన్నప్పుడు తన స్థానిక IPv6 మార్గాన్ని కొనసాగించగలదు. మీకు నిజంగా ముఖ్యమైన చిరునామా కుటుంబాన్ని పరీక్షించండి, మరియు రెండోది నిలిపివేయాలా అని స్పష్టంగా నిర్ణయించండి.

చివరగా, డిస్‌కనెక్ట్ స్థితిని పరీక్షించండి. పూర్తి టన్నెల్ ఎంపిక కనెక్ట్ అయి ఉన్నప్పుడు మార్గ విధానాన్ని వివరిస్తుంది, టన్నెల్ పడిపోయినప్పుడు ఏమి జరుగుతుందో కాదు. VPN వెలుపల ఏ ట్రాఫిక్ తప్పించుకోకూడదు అనేది అవసరం అయితే, అది kill-switch మరియు ఫైర్‌వాల్ ప్రశ్న, మరియు మార్గ పట్టిక నుండి ఊహించడం బదులు దాని సొంత పరీక్ష అవసరం.