AWS Client VPN-లో అడపాదడపా యాక్సెస్: ప్రతి అనుసంధాన సబ్‌నెట్‌ను ఆడిట్ చేయండి
కొన్ని AWS Client VPN సెషన్‌లు యాప్ VPCకి చేరుతాయి, మరికొన్ని సమయం మించిపోతాయి. మొదట ప్రతి అనుసంధానం యొక్క VPC రూట్ పట్టికతో ఎండ్పాయింట్ రూట్‌లను పోల్చండి.
ఒక వినియోగదారు కనెక్ట్ అవుతాడు, అంతర్గత యాప్‌ను తెరిచి సమాధానం పొందుతాడు; అదే ఎండ్‌పాయింట్‌పై ఉన్న సహచరుడు అదే Wi-Fiలోని ఒకేలాంటి ల్యాప్‌టాప్ నుండి సమయం మించిపోవడాన్ని పొందుతాడు. ఈ నమూనా ఒకటి కంటే ఎక్కువ అనుసంధాన సబ్‌నెట్‌లు ఉన్న client VPN ఎండ్పాయింట్ లక్షణం, ఇక్కడ మార్గాలు సమానం కావు. నేను దీన్ని కన్సోల్ నుండి బయటకు చూస్తాను, ఎందుకంటే మిగిలిన దర్యాప్తు విలువైనదా అని రెండు ట్యాబ్‌లు నిర్ణయిస్తాయి. క్లయింట్ కాన్ఫిగరేషన్‌లో దీన్ని వివరించేది ఏదీ లేదు.
ఎండ్పాయింట్ నుండి ప్రారంభించి అనుసంధానాలను జాబితా చేయండి
VPC కన్సోల్‌లో Client VPN endpoints తెరవండి, ఎండ్‌పాయింట్‌ను ఎంచుకుని Associations ట్యాబ్ చదవండి. ప్రతి అనుసంధానం అందుబాటు జోన్‌లోని సబ్‌నెట్, కనెక్షన్ నిర్మించబడినప్పుడు సేవ ఎంచుకునే సబ్‌నెట్‌పై క్లయింట్ దిగుతుంది. సబ్‌నెట్ IDలు మరియు ప్రతి ఒక్కటి నిజంగా ఉపయోగించే రూట్ పట్టికను నమోదు చేయండి, ఎందుకంటే ఆ రెండు జాబితాలే మీరు చేయబోయే పోలిక.
ఎండ్పాయింట్ ఒకే అనుసంధానాన్ని చూపిస్తే, ఈ సిద్ధాంతం తప్పు మరియు క్లయింట్ మంచి అనుమానితుడు.
ఎండ్పాయింట్ రూట్ పట్టికను ప్రతి అనుసంధానంతో పోల్చండి
అదే ఎండ్‌పాయింట్‌పై Route table ట్యాబ్ తెరవండి. అక్కడి ప్రతి గమ్య CIDRకి ఒక లక్ష్యం ఉంటుంది, client VPNలో లక్ష్యం గేట్‌వే కాదు, అనుసంధానం. AWS ప్రతి అనుసంధాన సబ్‌నెట్‌కు గమ్య నమోదును కోరుతుంది, కాబట్టి వాటిలో ఒకటి మాత్రమే లక్ష్యంగా ఉన్న రూట్ యాక్సెస్‌ను సెషన్ ఎక్కడ దిగిందనే దానిపై ఆధారపడేలా చేస్తుంది. మీకు నిజంగా ముఖ్యమైన గమ్యాన్ని తనిఖీ చేయండి, తర్వాత దాని అధికార నియమాన్ని తనిఖీ చేయండి, ఎందుకంటే రూట్ మార్గాన్ని ఇస్తుంది, నియమం ఎవరు ఉపయోగించవచ్చో నిర్ణయిస్తుంది.
రెండు పొరలను పట్టికలోకి తెచ్చిన తర్వాత, వైఫల్యాన్ని మిస్ చేయడం కష్టం.
| Associated subnet | Endpoint route to 10.200.0.0/16 | VPC route in that subnet |
|---|---|---|
| subnet-aaa | Targets the association | 10.200.0.0/16 to pcx-example |
| subnet-bbb | Targets the association | No matching entry |
చాలా టికెట్‌లలో రెండవ వరుసే మొత్తం బగ్. ఎండ్పాయింట్ రూట్ ఉంది, కాబట్టి ఎవరూ ముందుకు చూడరు, మరియు ప్యాకెట్ ఒక హాప్ తర్వాత VPC లోపల చనిపోతుంది.
ప్రతి సబ్‌నెట్‌ను దాని ప్రభావవంతమైన రూట్ పట్టిక వరకు అనుసరించండి
స్పష్టమైన రూట్ పట్టిక అనుసంధానం లేని సబ్‌నెట్ VPC యొక్క ప్రధాన పట్టికను వారసత్వంగా పొందుతుంది. నిజంగా అమలులో ఉన్న పట్టికను చదవండి, పేరు సరిగ్గా కనిపించే పట్టికను కాదు, మరియు వరుసపై లేబుల్‌కు బదులు గమ్యాన్ని మరియు లక్ష్యాన్ని పోల్చండి.
AWS యొక్క అడపాదడపా యాక్సెస్ మార్గదర్శిని దీన్ని అనుసంధానాల అంతటా రూట్ కవరేజీగా వివరిస్తుంది, అదే సరైన నమూనా. ఎండ్పాయింట్ ప్యాకెట్‌ను ఒక సబ్‌నెట్‌కు చేర్చుతుంది, ఆ సబ్‌నెట్ పట్టిక ఇంకా అప్లికేషన్ నెట్‌వర్క్ ఎక్కడ ఉందో తెలుసుకోవాలి.
తప్పిపోయిన వరుసను దాని యాజమాన్యంలో ఉన్న పట్టికలో సరిచేయండి. పని చేస్తున్న సబ్‌నెట్ నుండి మొత్తం రూట్ పట్టికను కాపీ చేయడం దీని కోసం ఎప్పుడూ ఉద్దేశించని ఇంటర్నెట్, పరికరం మరియు ఐసోలేషన్ ఎంపికలను కూడా కాపీ చేస్తుంది, ఆ మార్పిడి సాధారణంగా మీరు ప్రారంభించిన అంతరాయం కంటే అధ్వాన్నం.
అధికార నియమాలను తనిఖీ చేయండి, తర్వాత తిరిగి వచ్చే మార్గం
అధికార నియమాలు ప్రతి గమ్యానికి మరియు ప్రతి సమూహానికి ఉంటాయి, రూట్‌ల నుండి విడిగా మూల్యాంకనం అవుతాయి. ప్రతిచోటా రూట్‌లు ఉన్నా వినియోగదారు సమూహానికి నియమం లేని గమ్యం ఆరోగ్యంగా కనిపించే రూట్ పట్టికతో నల్లబొక్కలా ప్రవర్తిస్తుంది.
తిరిగి వచ్చే మార్గం కూడా అదే శ్రద్ధకు అర్హం. peering కనెక్షన్‌కు యాప్ VPCలో క్లయింట్ CIDR వైపు తిరిగి వెళ్లే రూట్, రెండు చివరల్లో ట్రాఫిక్‌ను అనుమతించే భద్రతా సమూహ నియమాలు మరియు దానిని పడేయని నెట్‌వర్క్ ACLలు అవసరం. ఒక-దిశ యాక్సెసిబిలిటీ, అంటే ping పని చేస్తుంది కానీ TCP హ్యాండ్‌షేక్ చేయదు, సాధారణంగా VPN వైపు కాదు, ACL లేదా భద్రతా సమూహం వైపు సూచిస్తుంది.
ఎండ్పాయింట్ యొక్క స్వంత భద్రతా సమూహాలు అనుసంధానం యొక్క సాగే నెట్‌వర్క్ ఇంటర్‌ఫేస్‌లపై ఉంటాయి, కాబట్టి క్లయింట్ CIDR నుండి యాప్ పోర్టును అనుమతించే నియమం ఇన్‌స్టాన్స్‌కే కాదు, అనుసంధానానికి కూడా జోడించాలి.
ఒక అదృష్ట అభ్యర్థనతో కాదు, మళ్లీ కనెక్ట్ చేయడం ద్వారా ధృవీకరించండి
split tunnelతో, కనెక్షన్ స్థాపించబడినప్పుడు ఎండ్పాయింట్ రూట్‌లు పంపబడతాయి, కాబట్టి మారిన రూట్ సెట్ కనెక్ట్‌గా ఉండే క్లయింట్‌కు ఎప్పటికీ చేరదు. మద్దతు ఉన్న క్లయింట్ ద్వారా డిస్‌కనెక్ట్ చేసి మళ్లీ కనెక్ట్ చేయండి, తర్వాత కొత్త రూట్‌లు మెషీన్‌లో ఉన్నాయని నిర్ధారించండి.
చివరగా, కనెక్షన్ లాగ్‌ను క్లయింట్ పొందిన చిరునామాతో సహసంబంధం చేయండి, మరియు ఒకటి కంటే ఎక్కువ అనుసంధానాలను తాకేలా పరీక్షను సరిపడా సార్లు పునరావృతం చేయండి. సవరణ తర్వాత ఒక విజయవంతమైన అభ్యర్థన ఒక మార్గం పని చేస్తుందని నిరూపిస్తుంది, టికెట్ మరొకదాని గురించి.