EC2 sa mga availability zone: suriin ang routing bago ang VPN

Bago mag-install ng VPN software sa pagitan ng dalawang EC2 instance, sagutin ang isang tanong: nasa parehong VPC ba sila? Kung oo, umiiral na ang pribadong landas at hindi iyon binabago ng paglalagay sa magkaibang zone. Karamihan ng trabaho sa sitwasyong ito ay ang kumpirmahin kung aling routing table ang aktwal na ginagamit ng bawat subnet, at pagkatapos ay alamin kung ang pagkabigo ay naging problema sa routing. Ang tunnel ay karaniwang maling sagot sa partikular na tanong na ito.

Pagsusuri 1: parehong VPC o magkaibang VPC

Ang VPC ay panrehiyon at sumasaklaw sa mga availability zone, habang ang bawat subnet ay kabilang sa eksaktong isang zone. Dalawang instance sa magkaibang zone ng isang VPC ay nasa loob pa rin ng parehong pribadong routing domain.

Hindi kailanman nakakakuha ng pribadong ruta ang magkaibang VPC dahil lang sa pagbabahagi ng rehiyon o label ng zone. Ang kasong iyon ay nangangailangan ng sinusuportahang koneksyon at sariling trabaho sa ruta at pahintulot, na isang hiwalay na desisyon.

Pagsusuri 2: ano ang sinasabi ng mga routing table ng subnet

Isulat ang layout gamit ang tunay na halaga. Ang VPC sa 10.60.0.0/16 na may mga subnet 10.60.1.0/24 at 10.60.2.0/24 ay nagbibigay sa mga instance 10.60.1.10 at 10.60.2.20 ng landas sa pamamagitan ng lokal na ruta ng VPC.

Pagkatapos ay suriin ang mga table na nauugnay sa parehong subnet, hindi lamang ang una mong natagpuan. Ang isang mas partikular na rutang pang-inspeksyon o pang-appliance ay maaaring manaig sa baseline, at ang target ng lokal na ruta mismo ay maaaring mapalitan sa mas bagong configuration. Ang lokal na rutang nakikita sa isang lugar sa console ay hindi nagpapatunay na ginagamit ito ng parehong workload.

Gamitin ang mga pribadong address at pangalan na aktwal na itinatakda ng VPC. Ang pribadong address ay hindi kailangang magsimula sa 10, at ang pag-imbento ng isa mula sa memorya ay ang paraan ng maling pag-diagnose sa isang gumaganang kapaligiran.

Pagsusuri 3: routing o awtorisasyon

Dinadala lamang ng routing ang packet sa network interface ng target. Kailangan pa ring tanggapin ng security group ng target ang pinagmulan at ang serbisyo, dapat payagan ng mga panlabas na patakaran ng pinagmulan ang kahilingan, at dapat pahintulutan ng anumang network ACL ang dalawang direksyon dahil walang state ang mga ACL.

Sa likod nito ay ang firewall ng bisita, ang binding ng listener at ang sariling pagkakakilanlan ng application. Alinman sa mga ito ay maaaring tumanggi sa kahilingang perpektong inihatid ng routing.

Ang pagtanggap ay dapat ang tunay na operasyon ng application. Ang matagumpay na ping ay hindi nagbibigay ng access sa application at hindi nagpapatunay na tama ang TLS name at mga kredensyal, at ang naharang na ping ay hindi nagpapatunay na naka-off ang bawat pribadong serbisyo.

Pagsusuri 4: talaga bang kailangan ang hiwalay na koneksyon

Ang VPN ay maaari pa ring bahagi ng disenyo, ngunit para sa isang nakasaad na dahilan: ikonekta ang VPC na ito sa isang opisina, tanggapin ang mga laptop o tuparin ang isang pangangailangan sa overlay. Ang dahilang iyon ay iba sa ordinaryong komunikasyon sa loob ng parehong VPC.

Tandaan din kung ano ang hindi VPC. Hindi ito extension ng isang segment ng Ethernet sa bahay. Ang application na umaasa sa broadcast discovery ay may hiwalay na pangangailangang suriin. Iyon ay puwang sa disenyo at hindi bug sa routing.

Pagsusuri 5: ang tanong sa encryption

Ang pribadong address at patakaran sa pahintulot ay walang sinasabi tungkol sa cryptographic na proteksyon sa layer ng application. Kung kailangan ng data ng proteksyon mula dulo hanggang dulo, nagmumula iyon sa protocol at modelo ng pagkakakilanlan na aktwal na sinusuportahan ng serbisyo.

Panatilihing hiwalay ang mga pahayag tungkol sa network layer at application layer sa tala ng disenyo, dahil ang pagsasama sa mga ito ang paraan kung paano nagtatapos ang isang pagsusuri sa pag-angkin ng proteksyong walang nagpatupad.

Ano ang dapat itala

Itala ang parehong subnet ID, ang routing table na nauugnay sa bawat isa, ang mga sanggunian ng security group at ang operasyon ng application na iyong sinubukan. Iyon ay apat na katotohanan, at nilulutas nila ang karamihan ng hinaharap na pagtatalo tungkol sa landas na ito.

Ang paglalagay sa isang zone lamang ay hindi kailanman nagsasabi sa iyong magdagdag ng VPN, at hindi kailanman nagpapaliwanag kung bakit nabigo ang isang pribadong kahilingan.