Bakit hindi maabot ng EC2 ang iyong AWS Client VPN laptop
Isinasalin ng Client VPN ang mga pinagmumulang IPv4 ng kliyente sa interface ng endpoint. Kaya gumagana ang tugon at hindi ang bagong koneksyon mula sa EC2.
Ang laptop na konektado sa pamamagitan ng AWS Client VPN ay umaabot sa isang aplikasyon sa EC2 nang walang problema. Pagkatapos ay sinusubukan mo ang kabaligtaran, mula sa EC2 patungo sa address na ibinigay sa kliyente, at ang koneksyon ay bumabitin o tinatanggihan. Bihirang maging nawawalang panuntunan ng security group ang kawalan ng simetryang iyon. Sa isang endpoint ng Client VPN na nauugnay sa mga subnet ng VPC, isinasalin ng AWS ang mga pinagmumulang IPv4 ng kliyente sa network interface ng endpoint, kaya walang papasok na address ng VPC na kumakatawan sa iyong laptop.
Magsimula sa ipinapakita ng capture
Kumuha ng capture sa host ng EC2 habang kumokonekta ang kliyente at basahin ang source address na aktwal na nakikita ng aplikasyon. Kung ito ang interface ng endpoint sa panig ng VPC at hindi isang address mula sa pool ng mga kliyente, nakumpirma na ang pagsasalin bago ka pa magbago ng kahit isang panuntunan.
Ang pool ng mga kliyente ay isang saklaw ng paglalaan, hindi isang subnet na may return route. Dito nagkakamali ang karamihan ng ganitong pagsisiyasat.
Ang pagsasaling nagpapaliwanag ng kawalan ng simetrya
Tatlong daloy ang pinaghalo-halo, at isa lamang sa kanila ang sinusubukan ng mga tao.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Ang paglalarawan ng mga bahagi ng Client VPN ay malinaw na nagsasabi na ang mga pinagmumulang IPv4 ng kliyente ay isinasalin sa interface ng endpoint, at sapat na iyon upang makita kung bakit walang maipapares ang gitnang hilera.
Ang bagong koneksyon ay nangangailangan ng ruta, hakbang sa paglutas ng address at desisyon sa awtorisasyon. Ang estado ng pagsasalin mula sa sesyon ng iba ay hindi nagbibigay ng alinman sa tatlo.
Bakit ang tugon ay hindi bagong koneksyon
Ang tugon ng TCP ay itinatapat sa isang umiiral na entry, kaya gumagana ang daan pabalik nang walang anumang papasok na panuntunan. Ang bagong SYN mula sa host ng EC2 ay walang entry na maipapares, kaya nagiging ordinaryong pagtatangkang palabas patungo sa destinasyong hindi alam ng VPC kung paano marating.
Kaya rin mapanlinlang na ilarawan ito bilang trapikong isang direksyon lamang. Tuloy-tuloy ang pagdaloy ng trapiko pabalik sa mga sesyong ito. Ang bahaging walang daan ay ang pagsisimula.
Ano pa ang sumisira sa sesyong dapat gumana
Mahalaga ang mga security group, ACL ng network at firewall ng laptop mismo para sa mga koneksyong dapat magtagumpay. Ang bigong ping ang pinakakaunting nagsasabi, dahil kadalasang hiwalay ang patakaran sa ICMP sa patakaran sa TCP na mahalaga sa iyo.
Isulat ang mga panuntunang iyon ayon sa isinaling pinagmulan, hindi sa address ng kliyente. Ang mga panuntunang nakakabit sa address na hindi kailanman lumalabas sa network ang pinakakaraniwang sariling dulot na pagkabigo sa disenyong ito.
Kapag talagang kailangang simulan ng VPC ang usapan
Kung kailangang magpaalam ng isang serbisyo sa isang workstation, baliktarin ang direksyon at hayaang maghawak ang kliyente ng palagiang palabas na channel na sinasagot ng serbisyo. Kung ang buong malayong network ay kailangang maabot mula sa VPC, pumili ng arkitekturang naglalathala ng mga prefix at patakaran sa pag-access nito sa halip na ipagpalagay na ginagawa na ito ng Client VPN. Ang pag-access ng kliyente-sa-kliyente ay ikatlo, mas makitid na kaso na may sariling ruta at mga bagay sa awtorisasyon. Wala sa mga ito ang check box lamang sa umiiral na endpoint.
Panatilihing tapat din ang saklaw ng paliwanag sa IPv4. Hinihiwalay ng kasalukuyang dokumentasyon ng AWS ang IPv6, kung saan hindi inilalapat ang pagsasaling iyon, at ang iba pang modelo ng koneksyon na rumeruta nang iba.
Subukan sa tatlong may label na hakbang: nagbubukas ang kliyente ng pinapayagang sesyon, sinasagot ng serbisyo sa VPC ang sesyong iyon, at nagbubukas ang host ng VPC ng bagong sesyon patungo sa kliyente. Ang pagtatagumpay ng unang dalawa habang nabibigo ang ikatlo ay ang inaasahang hugis ng disenyong ito, hindi depektong hahabulin gamit ang mga panuntunan ng firewall.