EC2 da Access Server to’liq tunneli: nima uchun bitta belgilash katakchasi yetarli emas

EC2 nusxasida manba va manzil tekshiruvini o’chirish Access Server ning internetga chiqishi haqidagi savollarga eng ko’p takrorlanadigan javob bo’lib, o’zi mijozlaringiz uchun hech narsa qilmaydi. Tekshiruv AWS ning uzatish cheklovi: nusxa o’z manzili bo’lmagan manba yoki manzilli paketlarni qabul qiladi. U mijozga internet trafigini tunnel orqali yuborishni aytmaydi, yuqoriga yo’nalish yaratmaydi va NAT qo’shmaydi. Afsona shundaki, belgilash katakchasi o’zi funksiya.

Tekshiruv aslida nimani boshqaradi

Har bir EC2 tarmoq interfeysi o’ziga yuborilmagan trafikni tashlaydi, agar nusxa router, NAT qurilmasi yoki VPN darvozasi sifatida ishlamasa va siz bu tekshiruvni o’chirmasangiz. Uni o’chirish uzatishga ruxsat beradi. Ruxsat konfiguratsiya emas: nusxaga hali ham internet darvozasi yoki NAT qurilmasiga yo’l kerak, VPC yo’l jadvaliga hali ham mos yozuv kerak, xavfsizlik guruhlari hali ham oqimga ruxsat berishi kerak, server esa qaytish trafigini tarjima qilishi yoki yo’naltirishi kerak.

Biror narsani o’zgartirishdan oldin joriy qiymatni aws ec2 describe-instance-attribute --instance-id i-0123456789abcdef0 --attribute sourceDestCheck bilan tekshiring. Konsolda o’zgartirsangiz, mijoz internetga yeta olmaganidan emas, nusxa boshqalar uchun uzatganidan o’zgartiring.

Mijozning yo’naltirish siyosati Access Server ga tegishli

Access Server 3 da Access Controls ni ochib, Internet Access and DNS bo’limini toping. Internet Gateway tanlovi to’liq yoki bo’lingan tunnelni taklif qiladi; to’liq tunnel mijozga asosiy trafigini VPN ichiga yo’naltirishni aytadi, bo’lingan tunnel internet trafigini mijozning mahalliy yo’lida qoldiradi. Mahsulot ish jarayoni orqali saqlang va qo’llang, so’ng sinov mijozini qayta ulang, chunki siyosat ulanish vaqtida yetkaziladi.

Eski versiyalar boshqa menyulardan foydalanadi va ba’zi Community OpenVPN qurilmalarida teng boshqaruv yo’q. Mavjud bo’lmagan ekranni izlashdan oldin o’rnatilgan asosiy versiyani tekshiring. So’ng mijoz nima olganini tasdiqlang: to’liq tunnel profili tunnel orqali asosiy yo’lni o’rnatishi kerak, bo’lingan tunnel profili esa bunday qilmasligi kerak.

Tunneldan keyin paketni kuzating

Mijoz internet trafigini tunnelga yuborgach, server uni uzatishi va odatda tarjima qilishi kerak. Access Server o’zining NAT va yo’naltirish qoidalarini boshqaradi, shuning uchun yaratilgan fayllarga Community OpenVPN qoidalarini qo’shish o’rniga amaldagi konfiguratsiyani o’qing; boshqarilmaydigan qoidalar keyingi mahsulot yangilanishida qayta yoziladi yoki to’qnashadi. sudo iptables -t nat -L -n -v yoki nftables ekvivalenti aslida nima tarjima qilinayotganini ko’rsatadi.

AWS tomoni alohida yo’l. Ommaviy subnetdagi nusxa internet darvozasiga to’g’ridan to’g’ri yetadi va ommaviy manzilini yoki elastik IP ni saqlaydi. Xususiy subnetdagi nusxaga NAT darvozasi yoki NAT nusxasiga yo’l kerak, NAT qurilmasiga esa o’zining internet darvozasiga yo’li kerak. Internet darvozasini VPC ga ulash o’zi hech qanday xususiy manbaga ommaviy qaytish manzili bermaydi, shuning uchun bir xil Access Server sozlamasi bir subnetda ishlaydi, boshqasida esa jimgina muvaffaqiyatsiz bo’ladi.

Nusxaning subnetiga bog’langan yo’l jadvalini tekshiring, faqat VPC ning asosiy jadvalini emas. Subnet biriktirmalari asosiy jadvaldan ustun, eskirgan biriktirma esa ishlayotgan konfiguratsiyaning qayta qurishdan keyin to’xtashining keng tarqalgan sababi.

IP chiqishi va DNS ni alohida saqlang

Avval manzil literalini, so’ng nomni bir xil mijoz ilovasidan sinab ko’ring. Agar curl -4 https://checkip.amazonaws.com ommaviy manzil qaytarsa, lekin xost nomlari ishlamasa, tunnel va NAT yo’li ishlayapti, muammo esa DNS da: yuborilgan resolver, mijozning resolver holati yoki resolver ni bloklaydigan xavfsizlik guruhi. Access Server ning DNS sozlamalari bir xil Internet Access hududida, lekin ular boshqa kod yo’lidan o’tadi.

Qaytarilgan manzilni siz nazarda tutgan chiqish bilan solishtiring. Agar bu nusxaning ommaviy manzili bo’lsa, trafik nusxa tomonidan tarjima qilinmoqda; agar bu NAT darvozasi manzili bo’lsa, xususiy subnet yo’li ishlatilmoqda. Ikkalasi ham to’g’ri bo’lishi mumkin. Siz xulosa qila olmaydigan narsa - serverdagi brauzer mijoz uzatilishini isbotlaydi degani.

Bitta katakcha tekshiruvni yopishiga yo’l qo’ymang

IPv6 alohida qaror. IPv4 uchun to’liq tunnel siyosati IPv6 olib o’tilishi, bloklanishi yoki oqib chiqishi haqida hech narsa demaydi, ikki qatlamli mijoz esa IPv4 tunnelda bo’lganda o’zining mahalliy IPv6 yo’lidan foydalanishda davom etishi mumkin. Sizga haqiqatan muhim bo’lgan manzil oilasini sinab ko’ring va ikkinchisini o’chirish kerakligini aniq hal qiling.

Nihoyat, uzilgan holatni sinab ko’ring. To’liq tunnel tanlovi ulangan paytdagi yo’naltirish siyosatini tavsiflaydi, tunnel yiqilganda nima bo’lishini emas. Agar talab VPN tashqarisiga hech qanday trafik chiqmasligi bo’lsa, bu kill-switch va xavfsizlik devori masalasi bo’lib, yo’l jadvalidan xulosa chiqarish o’rniga o’z sinovini talab qiladi.