AWS Client VPN orqali uzilishli kirish: har bir bog‘langan subnetni tekshiring

Bir foydalanuvchi ulanadi, ichki ilovani ochadi va javob oladi; o‘sha endpointdagi hamkasbi esa o‘sha Wi-Fi’dagi bir xil noutbukdan vaqt tugashini oladi. Bu manzara bir nechta bog‘langan subnetga ega client VPN endpointining belgisidir va bu yerda yo‘llar teng emas. Men buni konsoldan tashqariga qarab tekshiraman, chunki qolgan tekshiruvga arziydimi-yo‘qmi degan savolni ikki tab hal qiladi. Client konfiguratsiyasida buni tushuntiruvchi hech narsa yo‘q.

Endpointdan boshlang va bog‘lanishlarni sanab chiqing

VPC konsolida Client VPN endpoints ni oching, endpointni tanlang va Associations tabini o‘qing. Har bir bog‘lanish mavjudlik zonasidagi subnetdir va aloqa qurilayotganda xizmat tanlagan subnetga client tushadi. Subnet ID larini va har biri amalda ishlatadigan marshrut jadvalini yozib oling, chunki aynan shu ikki ro‘yxat siz qilmoqchi bo‘lgan taqqoslashdir.

Agar endpoint faqat bitta bog‘lanishni ko‘rsatsa, bu nazariya noto‘g‘ri va client yaxshiroq gumondor.

Endpoint marshrut jadvalini har bir bog‘lanish bilan solishtiring

O‘sha endpointda Route table tabini oching. U yerdagi har bir manzil CIDR ning maqsadi bor, client VPN da esa maqsad shlyuz emas, bog‘lanishdir. AWS har bir bog‘langan subnet uchun manzil yozuvini talab qiladi, shuning uchun faqat bittasiga qaratilgan marshrut kirishni seans qayerga tushganiga bog‘liq qiladi. Sizga haqiqatan muhim manzilni tekshiring, so‘ng uning avtorizatsiya qoidasini tekshiring, chunki marshrut yo‘lni beradi, qoida esa kim foydalanishi mumkinligini hal qiladi.

Ikkala qatlamni jadvalga tushirganingizdan keyin nosozlikni o‘tkazib yuborish qiyin.

Ko‘p ticketlarda ikkinchi qator butun xatodir. Endpoint marshruti mavjud, shuning uchun hech kim nariga qaramaydi va paket bir sakrashdan keyin VPC ichida o‘ladi.

Har bir subnetni uning amaldagi marshrut jadvaligacha kuzatib boring

Aniq marshrut jadvali bog‘lanishi bo‘lmagan subnet VPC ning asosiy jadvalini meros oladi. Haqiqatan amalda bo‘lgan jadvalni o‘qing, nomi to‘g‘ri ko‘ringanini emas, va qatordagi yorliq o‘rniga manzil va maqsadni solishtiring.

AWS ning uzilishli kirish bo‘yicha qo‘llanmasi buni bog‘lanishlar bo‘ylab marshrut qamrovi deb ta’riflaydi, bu to‘g‘ri model. Endpoint paketni subnetga yetkazadi va o‘sha subnetning jadvali hali ham ilova tarmog‘i qayerdaligini bilishi kerak.

Yetishmayotgan qatorni unga egalik qiluvchi jadvalda tuzating. Ishlayotgan subnetdan butun marshrut jadvalini ko‘chirish bu subnet uchun hech qachon mo‘ljallanmagan internet, qurilma va izolyatsiya tanlovlarini ham ko‘chiradi va bu almashinuv odatda siz boshlagan uzilishdan ham yomonroq.

Avtorizatsiya qoidalarini, so‘ng qaytish yo‘lini tekshiring

Avtorizatsiya qoidalari har bir manzil va har bir guruh uchun bo‘ladi va marshrutlardan alohida baholanadi. Hamma joyda marshruti bor, lekin foydalanuvchi guruhi uchun qoidasi yo‘q manzil sog‘lom ko‘ringan marshrut jadvali bilan qora tuynuk kabi tutadi.

Qaytish yo‘li ham xuddi shunday e’tiborga loyiq. Peering aloqasi ilova VPC sida client CIDR iga qaytuvchi marshrutni, ikki uchida ham trafikni ruxsat etuvchi xavfsizlik guruhi qoidalarini va uni tashlab yubormaydigan tarmoq ACL larini talab qiladi. Bir tomonlama yetib borish, ya’ni ping ishlaydi-yu, TCP qo‘l berishish ishlamasa, odatda VPN ga emas, ACL yoki xavfsizlik guruhiga ishora qiladi.

Endpointning o‘z xavfsizlik guruhlari bog‘lanishning elastik tarmoq interfeyslarida joylashgan, shuning uchun ilova portiga client CIDR idan ruxsat beruvchi qoida faqat instansga emas, bog‘lanishga ham biriktirilishi kerak.

Bitta omadli so‘rov bilan emas, qayta ulanish bilan tekshiring

Split tunnel bilan endpoint marshrutlari aloqa o‘rnatilganda yuboriladi, shuning uchun o‘zgargan marshrutlar to‘plami ulangan holda qoladigan clientga hech qachon yetib bormaydi. Qo‘llab-quvvatlanadigan client orqali uzib, qayta ulaning, so‘ng yangi marshrutlar mashinada borligini tasdiqlang.

Nihoyat, ulanish jurnalini client olgan manzil bilan bog‘lang va bir nechta bog‘lanishga tushish uchun testni yetarlicha marta takrorlang. Tuzatishdan keyin bitta muvaffaqiyatli so‘rov bitta yo‘l ishlashini isbotlaydi, ticket esa boshqasi haqida edi.