AWS Client VPN ajratilgan tunnel bilan: qaysi marshrutlarni e’lon qilish kerak

Konsol ajratilgan tunnel uchun kalit taklif qiladi, shuning uchun qaror belgilash katakchasiga o‘xshaydi. Aslida unday emas. Mijozga haqiqatda yetib boradigan narsa — oxirgi nuqtaning e’lon qilingan marshrutlar to‘plami, va bu ro‘yxat qaysi xususiy prefikslar tunneldan foydalanishini, umumiy internet trafigi lokal qolishini yoki AWS orqali chiqishini va mijoz hali qaysi resolver bilan gaplasha olishini belgilaydi. Uch savol dizaynni hal qiladi va har biriga aloqa muvaffaqiyatli bo‘lib turgan holda ham yomon javob berish mumkin.

Ajratilgan tunnel bayrog‘i manzillar ro‘yxati emas

AWS ajratilgan tunnelni aloqa o‘rnatilayotganda oxirgi nuqta marshrutlarini mijozning marshrut jadvaliga qo‘shish deb ta’riflaydi. Xususiy VPC uchun marshrut tunnelni shu manzil bilan cheklaydi; qolgan hamma narsa mijozning odatdagi yo‘lidan boradi. Standart marshrut boshqacha ta’sirga ega boshqa ko‘rsatma, shuning uchun ajratilgan tunnel hujjatlari ushbu rejim uchun sozlangan oxirgi nuqtada 0.0.0.0/0 e’lon qilishdan ogohlantiradi: bu ulanishni kengaytirish o‘rniga odatda buzadi. Oxirgi nuqtaning marshrut jadvali — siyosat, mijozning marshrut jadvali esa tekshirish mumkin bo‘lgan natija.

Oxirgi nuqtaning marshrut jadvalini va mijozga o‘rnatilgan marshrutlarni birga o‘qing. Yorliq niyatni tasvirlaydi; marshrutlar nima bo‘lishini tasvirlaydi.

Birinchi qaror: umumiy internet trafigi lokal qolishi kerakmi?

Agar ko‘rish foydalanuvchining o‘z aloqasidan foydalanishi kerak bo‘lsa, faqat ish uchun zarur xususiy manzillarni e’lon qiling va shu yerda to‘xtang. To‘liq tunnel qo‘llanmasida bittasi bor edi deb internet marshrutini qo‘shmang va qo‘shimcha marshrut xavfsizlikni yaxshilaydi deb o‘ylamang. U yo‘lni o‘zgartiradi, siyosat qo‘shmaydi va odatda siz rejalashtirmagan kechikishga olib keladi.

Agar internet trafigi AWS orqali chiqishi kerak bo‘lsa, hujjatlashtirilgan internetga kirish arxitekturasini quring: oxirgi nuqta marshruti, avtorizatsiya qoidalari, bog‘langan subnetning yo‘li, xavfsizlik siyosati va ishlaydigan yuqori chiqish. Faqat standart marshrut bularning hech birini bermaydi.

Ikkinchi qaror: qaysi xususiy prefikslar va kimning ruxsati bilan?

Haqiqiy yuklamaga xizmat qiladigan eng kichik manzillar to‘plamini e’lon qiling va har bir bog‘langan subnet ularga marshrut bera olishini tekshiring. Oxirgi nuqtaning marshrut maqsadi va subnetning VPC marshrutlanishi turli qatlamlar, va birida mavjud marshrut ikkinchisi haqida dalil emas. Avtorizatsiya yana alohida: manzil yetib borish mumkin bo‘lsa ham rad etilishi mumkin, chunki mijoz guruhida unga ruxsat beruvchi qoida yo‘q.

Bitta muvaffaqiyatli sessiyani sinash bitta yo‘lni isbotlaydi. Har bir bog‘langan subnetni tekshiring, chunki keyinroq qo‘shilgan subnet bog‘lanishi yo‘qolgan marshrut odatda joylashgan joydir.

Manzil nomi bilan yetib borish kerak bo‘lsa, keyingi savol marshrut emas, nomlarni hal qilish ekanini unutmang.

Uchinchi qaror: qaysi resolver tunnelga ergashadi?

Mijoz faqat VPN orqali yetib borish mumkin bo‘lgan DNS serverini olishi mumkin va bu resolver faqat uning manzili avtorizatsiya qilingan marshrut ichida bo‘lsa ishlaydi. Ikkala yarmini tekshiring: resolver manzili e’lon qilingan marshrutga ergashadi, server esa ilova so‘raydigan nomlarga javob beradi. Manzil bo‘yicha muvaffaqiyatli, lekin xost nomi bo‘yicha muvaffaqiyatsiz so‘rov nomlashga ishora qiladi, marshrutlashga emas, va bu holatda tunnelni tuzatish tushdan keyinni behuda o‘tkazadi.

Ommaviy nomlar aloqadan oldingi kabi hal qilinishi kerak, bu esa nima e’lon qilayotganingiz haqida aniq bo‘lishning yana bir sababi.

Marshrutlar to‘plamini o‘zgartiring, so‘ng ikkala dunyoni tekshiring

AWS ajratilgan tunnel oxirgi nuqtasida marshrutlarni o‘zgartirish mijoz aloqalarini qayta o‘rnatishini hujjatlashtiradi. O‘zgartirishni shuni hisobga olib rejalashtiring: uni qo‘llang, qo‘llab-quvvatlanadigan mijoz orqali qayta ulanib, tahrirdan oldin qo‘llangan holatga ishonish o‘rniga o‘rnatilgan marshrutlarni qayta o‘qing. Eskirgan qo‘llangan holat to‘g‘ri o‘zgartirishning buzilgan ko‘rinishining eng keng tarqalgan sababidir.

Dizaynni faqat bitta xususiy resurs va bitta ommaviy manzil niyatdagidek, nomi va manzili bo‘yicha, siz haqiqatan qo‘llab-quvvatlaydigan manzil oilalarida harakat qilganda qabul qiling. Autentifikatsiya qiluvchi tunnel to‘g‘ri ajratuvchi tunnel bilan bir xil emas.

Marshrutlar ro‘yxatini asoslar yoniga runbookka yozing, keyingi odam ataylab qilingan chiqarishni unutilganidan ajrata olishi uchun.