Bitta AWS Client VPN sessiyasi orqasidagi LAN: nima uzatiladi

Noutbuk AWS Client VPN tugash nuqtasiga ulanadi, xususiy quyi tarmoqqa yetib boradi va hamma narsa sog‘lom ko‘rinadi. Xuddi shu LANdagi ish stoli hech qayerga yetib bormaydi, garchi Linux xostida ham ko‘prik interfeysi bor va ikkala mashina bir kabelda. Tunnelda hech narsa noto‘g‘ri sozlanmagan; yetishmayotgan qism — marshrutlash, ko‘prik esa yolg‘on iz.

Client VPN sessiyasini LANga kengaytirish — shlyuz roli. Bu boshqariladigan xizmatga cho‘zilgan Ethernet segmenti emas.

Xost ishlaydi, LAN esa yo‘q

Linux mashinasidagi tunnel interfeysining manzili Client VPN mijozi CIDR ichida, va tugash nuqtasi VPC diapazonlari uchun marshrutlarni yubordi. O‘sha mashinada qilingan so‘rov mahalliy yaratilgan trafik: u marshrut tanlaydi, tunneldan chiqadi va javob oladi. Bu yo‘l hech qachon uzatish kodiga, LAN interfeysiga yoki tranzitni boshqaradigan hech qanday tarmoq to‘sig‘i qoidasiga tegmaydi.

Boshqa LAN qurilmasidan keladigan trafik boshqa oqim. U LAN interfeysiga keladi, tunnelga ko‘rsatuvchi marshrut kerak, uzatish yoqilgan bo‘lishi kerak, unga ruxsat beruvchi tarmoq to‘sig‘i kerak va javob o‘sha xost orqali qaytishi kerak. To‘rt shart, va ishlayotgan noutbuk sinovi ularning birortasini isbotlamaydi. Ish stolidan nosozlik g‘alati ko‘rinadi: tunnel yoqilgan, hisob ma’lumotlari to‘g‘ri, va manzil hech qachon javob bermaydi. Nuqson shlyuzning uzatish yo‘lida mahalliy, xizmatda emas.

Har bir mijoz shlyuz bo‘la olmaydi

AWS Client VPN ish stoli ilovasi IP uzatishni qo‘llab-quvvatlamasligini, boshqa mijozlar esa qo‘llab-quvvatlashi mumkinligini bildiradi. Bu cheklov har qanday buyruq yozilishidan oldin arxitekturani hal qiladi. Agar mavjud yagona mijoz rasmiy ish stoli ilovasi bo‘lsa, LAN uchun uzatuvchi Linux shlyuzi tugata oladigan konfiguratsiya emas, va hech qanday masquerading buni o‘zgartirmaydi.

O‘rinbosar mijoz tugash nuqtasining autentifikatsiya usuliga va siz joriy qilmoqchi bo‘lgan siyosatga ham mos kelishi kerak. Sertifikat, katalog va SAML asosidagi tugash nuqtalari bir xil mijoz konfiguratsiyalarini qabul qilmaydi, va autentifikatsiyadan o‘tib, yuborilgan marshrutlarni e’tiborsiz qoldiradigan uchinchi tomon mijozi yaxshilanish emas.

Mijoz tanlovini dizayn ko‘rigining bir qismi deb biling. U LAN uzatish andozasi umuman mavjudmi yoki yo‘qmi va tugash nuqtasi shlyuz orqasidagi har bir qurilma uchun qanday identifikatsiyani ko‘rishini belgilaydi. Mijozni va u sinovdan o‘tkazilgan tugash nuqtasi konfiguratsiyasini yozib oling. Olti oydan keyin mijozning almashinuvi dizayn taxmin qilgan imkoniyatni jimgina olib tashlashi mumkin.

LANni tunnelga yo‘naltiring va tarjima qiling

Qo‘llab-quvvatlanadigan mijoz joyida bo‘lsa, qolgani oddiy shlyuz ishi. LAN qurilmalariga VPC diapazoni uchun Linux xostiga ko‘rsatuvchi marshrut kerak, xostga esa uzatish yoqilgan bo‘lishi kerak. Agar VPC trafikni tasodifiy LAN manzili sifatida emas, ulangan mijoz sifatida ko‘rishini istasangiz, chiqishda manbani tarjima qiling.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Qoidani yuqoridagidek tunnel interfeysi va VPC diapazoni bilan cheklang, xost uzatadigan hamma narsani masquerade qilish o‘rniga. Torroq qoida ustida mulohaza yuritish osonroq, va u asl manba manzilini saqlashi kerak bo‘lgan trafikni jimgina o‘zgartirmaydi.

Iloji bo‘lsa LAN marshruti o‘zi kelsin: DHCP parametri, marshrutizator e’loni yoki LANni boshqaradigan narsa yuboradigan statik marshrut. Faqat bitta sinov mashinasida mavjud bo‘lgan marshrut dizaynni boshqa kimdir sinab ko‘rgan lahzada buzilgan ko‘rsatadi.

Javobga ham yo‘l kerak

So‘rov VPCga yetgandan keyin javob o‘sha tarjima holatlaridan qaytib, shlyuzda LAN marshrutini topishi kerak. Bu qism odatda masquerade qoidasi joyida bo‘lganda ishlaydi, chunki xaritalash uni bajargan xostda yashaydi. VPC tomonida javobni boshqa joyga yuboradigan marshrut bo‘lsa buziladi, shuning uchun ham mijoz CIDR marshruti, ham tugash nuqtasidagi quyi tarmoq bog‘lanishi muhim.

Faqat ping emas, hisoblagichlarga qarang. Nol paketli masquerade qoidasi so‘rov tunnel interfeysiga hech qachon yetmaganini aytadi, bu LAN marshrutiga yoki mijozning o‘z marshrutlash jadvaliga ishora qiladi. Paketlari bor, ammo javoblari yo‘q qoida VPC tomoniga, ruxsat qoidalariga yoki tarjima qilingan manbani qabul qilmaydigan xavfsizlik guruhiga ishora qiladi. Biror narsani o‘zgartirishdan oldin ikkala yo‘nalishni o‘qing, chunki faqat bir tomonda o‘sadigan son — sekin emas, bir yo‘nalishli yo‘l.

Tugash nuqtasi boshqariladigan xizmat ekanini yodda tuting. Tahrirlash uchun server konfiguratsiya fayli ham, qo‘shish uchun client-config direktivasi ham yo‘q, shuning uchun mijozning quyi tarmog‘ining maxsus marshrutlari bo‘lgan o‘zini boshqaradigan OpenVPN serveri uchun yozilgan ko‘rsatmalar o‘tmaydi. AWSda richaglar — quyi tarmoq bog‘lanishi, ruxsat qoidalari va VPC marshrutlash jadvallari.

Umumiy identifikatsiya — siyosat javob berishi kerak bo‘lgan qism

Shlyuz orqasidagi har bir qurilma shlyuzning VPN sessiyasidan foydalanadi. Tugash nuqtasining ruxsat qoidalari foydalanuvchi yoki guruhga kirish beradi, va xizmat nuqtayi nazaridan bu sessiyada aynan bitta foydalanuvchi bor. Mahalliy uzatish bu identifikatsiyani qurilma bo‘yicha autentifikatsiyaga ko‘paytirmaydi va qurilma holati tekshiruvlarini burchakdagi printergacha kengaytirmaydi.

Bu maqbul bo‘lishi mumkin, yoki dizayn rad etilishining sababi bo‘lishi mumkin. Bu VPC resurslari kim qo‘ng‘iroq qilayotgani haqida nima deb taxmin qilishiga bog‘liq. Ruxsat modeliga mos keladigan umumiy identifikatsiya yaxshi; bitta autentifikatsiyalangan sessiyani jimgina butun LAN kirishiga aylantiradigan identifikatsiya esa yozilishini kutayotgan topilma.

Agar talab haqiqatan butun saytni VPCga ulash bo‘lsa, masofaviy kirish mijozini kengaytirishdan oldin qo‘llab-quvvatlanadigan sayt-sayt dizaynini solishtiring. Semantika boshqacha, va VPC LANga ulanishlarni boshlashi kerak bo‘lganda NAT qilingan mijoz sessiyasi sayt aloqasining yomon o‘rinbosari.

Mijoz, marshrut, tarjima va identifikatsiya hikoyasini shu tartibda hal qiling. Har biri keyingisini cheklaydi, va bu tartib xost nima uchun ishlab, LAN nima uchun ishlamayotganini tushuntiradi.