Aling source IP ang ginagamit ng NAT gateway ng AWS papuntang VPN?

Binubuksan mo ang VPC console dahil nagtanong ang kasosyo kung aling hanay ng pinagmulan ang darating sa VPN na site-sa-site. Ang pahina ng mga NAT gateway ay nagpapakita ng pampublikong gateway na may kalakip na Elastic IP, at ang tukso ay ipadala ang address na iyon at magpatuloy. Iyon ang tamang sagot para sa landas ng internet at maling sagot para sa landas ng VPN, at ang pagkakaiba ay kung aling gateway ang itinuturo ng talahanayan ng ruta. Lakbayin ang ruta bago isulat ang listahan ng pinapayagan.

Magsimula sa pahina ng mga NAT gateway, hindi sa listahan ng pinapayagan

Sinasabi ng pahina ng mga NAT gateway ang subnet, uri at Elastic IP, at sapat ang tatlong field na iyon para magsimula. Ang hindi nito sinasabi ay ang landas na tinatahak ng trapiko pagkatapos. Nagmumula iyon sa mga talahanayan ng ruta na nakakabit sa subnet ng NAT gateway.

Unahing basahin ang uri, dahil pampubliko o pribado ang nagtatakda kung may lalabas na gateway ng internet mamaya sa kadena. Pagkatapos basahin ang subnet, dahil doon nakalagay ang ikalawang ruta.

Sundin ang dalawang salin

Parehong pampubliko at pribadong NAT gateway ay isinasalin ang pribadong pinagmulan ng IPv4 ng workload sa sariling pribadong address ng IPv4 ng NAT gateway. Nagaganap ang unang salin na iyon anuman ang uri. Ang ikalawang salin ang nakakalimutan ng mga tao: ibinibigay ng pampublikong NAT gateway ang trapiko sa gateway ng internet, na nagmamapa ng address sa kalakip na Elastic IP.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Sa pribadong landas walang gateway ng internet sa kadena. Kapag lumalabas ang trapiko sa gateway ng transit o virtual na pribadong gateway, itinatala ng gabay sa mga NAT gateway ang pribadong address ng NAT gateway bilang pinagmulang tinatanggap ng malayong panig. Iyon ang address na dapat payagan ng kasosyo, hindi ang Elastic IP.

Karaniwang ipinapakita ng landas ng VPN ang pribadong address

Para sa workload sa 10.20.1.0/24 na umaabot sa prefix ng kasosyo, itinuturo ng talahanayan ng ruta ng subnet ng workload ang NAT gateway, at ang talahanayan ng ruta ng subnet ng NAT gateway ang landas ng pribadong gateway. Mahalaga ang dalawang pagtalon, at ang ikalawa lang ang nagtatakda kung ano ang nakikita ng kasosyo. Kung walang ruta ang subnet ng NAT papunta sa landas ng VPN, hindi kailanman darating ang packet, at iba iyon sa maling source address.

I-verify ang ikalawang rutang iyon bago pa man pag-usapan ang mga address. Ang nawawalang ruta at maling iniulat na pinagmulan ay magkapareho ang hitsura para sa kasosyong hindi lang nakakakita ng trapiko.

Kapag binago ng ikalawang salin ang sagot

Nag-aalok din ang AWS ng tahasang, tugmang isa-sa-isang NAT mapping sa attachment ng gateway ng transit. Maaaring isalin muli ng mapping na iyon ang pinagmulan bago ito makita ng malayong serbisyo, at hindi ito ang default na pag-uugaling nagruruta lang. Dahil kailangan itong i-configure nang sadya, ituring itong eksepsiyon sa disenyo at hindi bilang bagay na minamana nang aksidente. Kung wala sa koponan ninyo ang nakakaalala na binuksan ito, ipagpalagay na wala ito hanggang mabasa ninyo ang attachment.

Kung ginagamit ito ng disenyo ninyo, dapat ilarawan ng listahan ng pinapayagan ang huling mapping at hindi ang address ng NAT gateway. Ang parehong pag-iingat ay nalalapat sa mga landas ng availability: kapag maraming address ng gateway ang kalahok, ang inaasahang hanay ng pinagmulan ay ang unyon, hindi isang kinatawang address. Isulat kung aling salin nabibilang ang bawat address, dahil imposibleng i-audit mamaya ang listahang walang pinagmulan.

Hindi mabibigyan ng serbisyo ng internet ang pribadong NAT gateway sa pamamagitan ng pagturo nito sa gateway ng internet; itinatala ng AWS na itinatapon ang gayong trapiko. Piliin ang uri mula sa buong landas, hindi mula sa salitang VPN sa pangangailangan.

Isulat ang kontratang maaaring kumilosan ng inyong kasosyo

Ang magagamit na kontrata ay may apat na bahagi: ang direksiyong pinagsisimulan ng mga daloy, ang isinaling pagkakakilanlan na makikita ng kasosyo, ang rutang pabalik para sa pagkakakilanlang iyon at ang saklaw ng proteksiyong nalalapat. Ang mga daloy ng NAT gateway ay pinasisimulan mula sa sinusuportahang panig ng pinagmulan, kaya hindi ito serbisyo ng pagpapasa ng papasok na port para ilantad ang pribadong workload. Ang sabihin iyon nang malakas nang maaga ay pumipigil sa pagsusuri ng disenyo kung saan ipinagpalagay ng bawat panig na ang isa ang nagsimula.

Ang salin ay bumibili ng ginhawa mula sa pagtatagpo ng mga address at mahuhulaang patakaran sa pinagmulan, at ikinakain nito ang indibidwal na pagkakakilanlan ng workload sa mga log ng kasosyo. Kung kailangan ng audit ang pagpapatungkol sa bawat workload, panatilihin ang pagkakakilanlang iyon sa antas ng aplikasyon sa halip na subukang bawiin ito mula sa isinaling source address.

Pagkatapos ay muling suriin ang dalawang talahanayan ng ruta pagkatapos ng anumang pagbabago, dahil ang bagong attachment o muling ikinabit na subnet ay tahimik na nagsusulat muli ng sagot.