AWS NAT ağ geçidi VPN'e doğru hangi kaynak IP'yi kullanır?

VPC konsolunu açıyorsunuz çünkü bir iş ortağı saha-sahaya VPN üzerinden hangi kaynak aralığının geleceğini sordu. NAT ağ geçitleri sayfası, Elastic IP eklenmiş bir genel ağ geçidi gösteriyor ve cazip olan o adresi gönderip devam etmek. Bu, internet yolu için doğru yanıt ve VPN yolu için yanlış yanıttır, fark ise yönlendirme tablosunun hangi ağ geçidini işaret ettiğidir. İzin listesini yazmadan önce rotayı baştan sona izleyin.

İzin listesinden değil, NAT ağ geçitleri sayfasından başlayın

NAT ağ geçitleri sayfası size alt ağı, türü ve Elastic IP'yi söyler ve bu üç alan başlamak için yeterlidir. Söylemediği şey, trafiğin ardından izlediği yoldur. Bu, NAT ağ geçidinin alt ağına bağlı yönlendirme tablolarından gelir.

Önce türü okuyun, çünkü genel ya da özel olması zincirde sonradan bir internet ağ geçidinin görünüp görünmeyeceğini belirler. Ardından alt ağı okuyun, çünkü ikinci rota oradadır.

İki dönüşümü izleyin

Hem genel hem de özel NAT ağ geçitleri, iş yükünün özel IPv4 kaynağını NAT ağ geçidinin kendi özel IPv4 adresine çevirir. Bu ilk dönüşüm türden bağımsız olarak gerçekleşir. İkinci dönüşüm insanların unuttuğudur: genel NAT ağ geçidi trafiği internet ağ geçidine verir, o da adresi ekli Elastic IP'ye eşler.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Özel yolda zincirde hiç internet ağ geçidi yoktur. Trafik bir geçiş ağ geçidinden veya sanal özel ağ geçidinden çıktığında, NAT ağ geçitleri kılavuzu NAT ağ geçidinin özel adresini uzak tarafın aldığı kaynak olarak belgeler. İş ortağının izin vermesi gereken adres budur, Elastic IP değil.

VPN yolu genellikle özel adresi gösterir

10.20.1.0/24 içindeki bir iş yükü iş ortağının ön ekiğine ulaştığında, iş yükü alt ağının yönlendirme tablosu NAT ağ geçidini, NAT ağ geçidinin alt ağının yönlendirme tablosu ise özel ağ geçidinin yolunu işaret eder. İki sıçrama da önemlidir ve iş ortağının ne gördüğünü yalnızca ikincisi belirler. NAT alt ağının VPN yoluna rotası yoksa, paket asla ulaşmaz ve bu, yanlış kaynak adresinden farklı bir hatadır.

Adreslerden bahsetmeden önce o ikinci rotayı doğrulayın. Eksik bir rota ile yanlış bildirilen bir kaynak, trafiği görmeyen bir iş ortağı için tıpatıp aynı görünür.

İkinci bir dönüşüm yanıtı değiştirdiğinde

AWS ayrıca bir geçiş ağ geçidi eklemesinde açık ve eşleşen bire bir NAT eşlemesi sunar. Bu eşleme, uzak hizmet görmeden önce kaynağı bir kez daha çevirebilir ve yalnızca yönlendirme yapan varsayılan davranış değildir. Bilerek yapılandırılması gerektiği için bunu tasarım istisnası olarak görün, kazara devralınan bir şey olarak değil. Ekibinizden kimse bunu açtığını hatırlamıyorsa, eklemeyi okuyana kadar yok sayın.

Tasarımınız bunu kullanıyorsa izin listesi NAT ağ geçidinin adresini değil, nihai eşlemeyi tanımlamalıdır. Aynı özen kullanılabilirlik yolları için de geçerlidir: birden çok ağ geçidi adresi katıldığında beklenen kaynak kümesi birleşimdir, tek bir temsili adres değildir. Her adresin hangi dönüşüme ait olduğunu yazın, çünkü kökeni olmayan bir listeyi sonradan denetlemek imkânsızdır.

Özel bir NAT ağ geçidine, internet ağ geçidine yönlendirilerek internet hizmeti verilemez; AWS bu tür trafiğin atıldığını belgeler. Türü tam yoldan seçin, gereksinimdeki VPN kelimesinden değil.

İş ortağınızın üzerine hareket edebileceği sözleşmeyi yazın

Kullanılabilir sözleşmenin dört bölümü vardır: akışların başlatıldığı yön, iş ortağının göreceği çevrilmiş kimlik, o kimlik için dönüş rotası ve geçerli koruma kapsamı. NAT ağ geçidi akışları desteklenen kaynak taraftan başlatılır, bu nedenle bu, özel bir iş yükünü açığa çıkarmak için gelen bağlantı noktası yönlendirme hizmeti değildir. Bunu erken ve yüksek sesle söylemek, her iki tarafın diğerinin başlattığını varsaydığı bir tasarım incelemesini önler.

Dönüşüm, adres çakışmasından rahatlama ve öngörülebilir bir kaynak politikası satın alır, karşılığında iş ortağının günlüklerinde bireysel iş yükü kimliğini kaybedersiniz. Denetim iş yükü başına atıf gerektiriyorsa, o kimliği çevrilmiş kaynak adresinden kurtarmaya çalışmak yerine uygulama katmanında tutun.

Ardından her değişiklikten sonra iki yönlendirme tablosunu yeniden kontrol edin, çünkü yeni bir ekleme veya yeniden ilişkilendirilmiş bir alt ağ yanıtı sessizce yeniden yazar.