EC2 kullanılabilirlik bölgeleri arasında: VPN'den önce yönlendirmeyi kontrol edin

İki EC2 örneği arasına VPN yazılımı kurmadan önce bir soruyu yanıtlayın: aynı VPC'de mi bulunuyorlar? Öyleyse özel yol zaten vardır ve bölgeler arası bir yerleşim bunu değiştirmez. Bu durumdaki işin çoğu, her alt ağın gerçekte hangi yönlendirme tablosunu kullandığını doğrulamak ve ardından arızanın baştan beri bir yönlendirme sorunu olup olmadığını bulmaktır. Bu belirli soruya tünel genellikle yanlış yanıttır.

Kontrol 1: aynı VPC mi yoksa farklı VPC'ler mi

VPC bölgeseldir ve kullanılabilirlik bölgelerini kapsar, her alt ağ ise tam olarak bir bölgeye aittir. Aynı VPC'nin farklı bölgelerindeki iki örnek hâlâ aynı özel yönlendirme alanının içindedir.

Farklı VPC'ler hiçbir zaman yalnızca bir bölgeyi veya bölge etiketini paylaştıkları için özel bir yol kazanmaz. Bu durum desteklenen bir bağlantı ile kendi yol ve izin çalışmasını gerektirir; bu ayrı bir karardır.

Kontrol 2: alt ağ yönlendirme tabloları ne diyor

Yerleşimi gerçek değerlerle yazın. Adresi 10.60.0.0/16 olan bir VPC, alt ağları 10.60.1.0/24 ve 10.60.2.0/24 ile örneklere 10.60.1.10 ve 10.60.2.20 VPC'nin yerel yolu üzerinden bir yol verir.

Ardından yalnızca ilk bulduğunuz tabloyu değil, her iki alt ağa bağlı tabloları inceleyin. Daha belirgin bir denetim veya cihaz yolu temel yolu geçersiz kılabilir ve yerel yolun hedefi daha yeni yapılandırmalarda kendisi de değiştirilebilir. Konsolda bir yerde görünen yerel bir yol, her iki iş yükünün de onu kullandığını kanıtlamaz.

VPC'nin gerçekten atadığı özel adresleri ve adları kullanın. Özel bir adresin 10 ile başlaması gerekmez ve bellekte bir tane uydurmak, çalışan bir ortamın yanlış teşhis edilmesinin yoludur.

Kontrol 3: yönlendirme mi yetkilendirme mi

Yönlendirme paketi yalnızca hedefin ağ arayüzüne ulaştırır. Hedefin güvenlik grubu hâlâ kaynağı ve hizmeti kabul etmelidir, kaynağın giden kuralları isteğe izin vermelidir ve herhangi bir ağ ACL'si her iki yöne de izin vermelidir çünkü ACL'ler durum tutmaz.

Bunun arkasında konuk güvenlik duvarı, dinleyicinin bağlanması ve uygulamanın kendi kimliği vardır. Her biri, yönlendirmenin kusursuz teslim ettiği bir isteği reddedebilir.

Kabul, uygulamanın gerçek işlemi olmalıdır. Başarılı bir ping uygulama erişimi vermez ve TLS adının ve kimlik bilgilerinin doğru olduğunu kanıtlamaz; engellenen bir ping ise her özel hizmetin kapalı olduğunu göstermez.

Kontrol 4: ayrı bir bağlantı gerçekten gerekli mi

VPN tasarımda yer alabilir, ancak belirtilen bir nedenle: bu VPC'yi bir ofise bağlamak, dizüstü bilgisayarları kabul etmek veya bir kaplama katmanı gereksinimini karşılamak. Bu neden, aynı VPC içindeki olağan iletişimden farklıdır.

VPC'nin ne olmadığını da hatırlayın. Ev Ethernet segmentinin bir uzantısı değildir. Yayın tabanlı keşfe bağlı bir uygulamanın değerlendirilecek ayrı bir gereksinimi vardır. Bu bir yönlendirme hatası değil, tasarım boşluğudur.

Kontrol 5: şifreleme sorusu

Özel bir adres ve izin kuralı, uygulama katmanındaki kriptografik koruma hakkında hiçbir şey söylemez. Verilerin uçtan uca korunması gerekiyorsa, bu hizmetin gerçekten desteklediği protokolden ve kimlik modelinden gelir.

Tasarım notunda ağ katmanı ve uygulama katmanı iddialarını ayrı tutun, çünkü bunları birleştirmek, bir incelemenin sonunda kimsenin uygulamadığı bir korumayı iddia etmesinin yoludur.

Neyin kaydedilmesi gerektiği

Her iki alt ağ kimliğini, her biriyle ilişkili yönlendirme tablosunu, güvenlik grubu referanslarını ve test ettiğiniz uygulama işlemini kaydedin. Bunlar dört gerçektir ve bu yol hakkındaki gelecekteki tartışmaların çoğunu çözer.

Yalnızca bölgeye yerleştirme size hiçbir zaman VPN eklemenizi söylemez ve özel bir isteğin neden başarısız olduğunu da hiçbir zaman açıklamaz.