Peered VPC ga yetish uchun AWS Client VPN yoki bastion
Ikkala yo'l ham ishlaydi, lekin turli joylarda buziladi. Endpoint marshrutlari, qaytish marshrutlashuvi va bastion halol chegara bo'lgan uchta holatni solishtiring.
Bitta Client VPN endpoint o'zining bog'langan VPC si bilan peering munosabatida bo'lgan VPC ga yeta oladi va buni qonuniy qilish uchun bastion kerak emas. Qilishga arziydigan tanlov — trafik qayerda qo'l almashtirishi: association subnetiga tushadigan va peering ulanishini kesib o'tadigan endpoint marshruti yoki peered VPC ichida sessiyani tugatadigan host. Ikkala yo'l ham ishlaydi va ular turli joylarda muvaffaqiyatsiz bo'ladi, shuning uchun qaror AWS nima ruxsat berishiga emas, egalik va auditga oid. Mana, men ularning o'rtasida qanday tanlayman va marshrutlangan yo'lni ishlaydigan qiladigan to'rtta yozuv.
Ikki yo'l, bitta endpoint, turli egalar
Marshrutlangan yo'lda mijoz trafigi endpointga yetib boradi, association subnetidagi Client VPN tarmoq interfeysining manziliga tarjima qilinadi va A dan B ga peering ulanishi orqali o'sha subnetdan chiqadi. VPC B hech qanday VPN sessiyasini tugatmaydi; u VPC A dan oddiy trafikni ko'radi, shuning uchun uning qaytish marshruti mijoz hovuziga emas, VPC A ga ishora qiladi.
bastion yo'lida mijoz avval hostga yetib boradi. A dagi bastion oxirgi sakrashni hali ham peering ulanishi orqali o'tkazadi, shuning uchun peering ishi qoladi va bitta sessiya qo'shiladi. B dagi bastion ham mijozdan yo'l talab qiladi va bu yo'l o'sha endpoint marshruti bo'lsa, marshrutlangan dizaynga bitta sakrash qo'shiladi. bastion ishni faqat u allaqachon mavjud bo'lsa, allaqachon tasdiqlangan bo'lsa va uning orqasidagi narsaga tarmoq chegarasi emas, sessiya chegarasi kerak bo'lsa kamaytiradi.
To'rtta yozuv marshrutlangan yo'lni ishlaydigan qiladi
AWS bu stsenariyni Client VPN how-it-works sahifasida hujjatlashtiradi va amalda hammasi ikki yoki uch jamoaga tegishli to'rtta yozuvga kelib tushadi. Diapazonlar misol uchun; peered diapazon noyob bo'lishi kerak, qaytish diapazoni esa rejangizga mos kelishi kerak.
| Control | What it must say |
|---|---|
| Endpoint route | 10.70.0.0/16 targets the association subnet |
| Authorization rule | The approved group may reach 10.70.0.0/16 |
| VPC A association-subnet table | 10.70.0.0/16 targets the peering connection |
| VPC B resource-subnet table | VPC A's range targets the same peering connection |
Marshrut va ruxsat alohida nazoratdir. Mos keladigan avtorizatsiya qoidasisiz to'g'ri endpoint marshruti mijozga hech narsa bermaydi; endpoint marshrutlay olmaydigan manzil uchun avtorizatsiya qoidasi unga qora tuynuk beradi. Ikkalasi ham bir xil diapazonni nomlashi kerak.
endpoint marshruti endpointning o'z VPC sidagi subnetga ishora qiladi, hech qachon peering ulanishiga emas. VPC marshrut jadvallari peering ulanishiga ishora qiladi, hech qachon instance yoki interfeysga emas. Ikkalasi o'rtasida qiymatni nusxalash shikoyatsiz saqlanadi va hech narsani marshrutlamaydi.
association subnet mijoz manbasini tarjima qilgani uchun B mijoz hovuziga emas, VPC A ga qayta marshrutlashi kerak. Mijoz diapazonini peering ulanishi orqali yuborish simmetrik ko'rinadi, ko'rikdan o'tadi va jimgina muvaffaqiyatsiz bo'ladi, chunki B hech qachon mijoz manbasiga ega paketni ko'rmaydi.
Xavfsizlik guruhlari va ruxsatning oxirgi metri
Marshrutlash paketlarni B ga olib keladi; qarorni B hali ham qabul qiladi. Xuddi shu mintaqadagi faol peering ulanishi uchun B dagi xavfsizlik guruhi Client VPN associationiga qo'llanilgan guruhga havola qilishi mumkin, bu qoidani tor ushlaydi va manzil o'zgarishlariga bardosh beradi. Guruh havolasi imkonsiz bo'lgan joyda 0.0.0.0/0 gacha kengaytirish o'rniga association subnet diapazoniga aniq ruxsat bering, chunki bu marshrutlash xatosini tushuntirib bo'lmaydigan timeoutga aylantiradi.
Keyin marshrutlash hech qachon tegmaydigan narsani tekshiring: ikkala subnetdagi tarmoq ACL lari, ilovaning ruxsat ro'yxati yoki token auditoriyasi, va DNS. peering shaxsiy xostlangan zonalarni nusxalamaydi, shuning uchun noutbuk hal qila olmaydigan manzilga ishlaydigan marshrutni ushlab turishi mumkin, peering ulanishi esa sertifikatga ishonch qo'shmaydi. endpointni B uchun javob beradigan resolverga yo'naltiring, so'ng shaxsiy nom va sertifikat mos kelishini tasdiqlang.
bastion halol javob bo'lganda
Men bastionni ataylab tanlash uchun uchta trigger tutaman. peered VPC sizning diapazoningiz uchun qaytish marshrutini qo'shmaydigan yoki guruh havolasini qabul qilmaydigan jamoaga tegishli. Kirish har bir sessiya uchun tasdiqlanishi yoki yozilishi kerak va ilova buni o'zi ko'tara olmaydi. Yoki oxirgi sakrash B ichida qolishi kerak, chunki xizmat faqat o'sha yerda hal qilinadi va uning TLS identifikatori ichki nomga mahkamlangan.
Bularning hech biri peering tranzitiv emasligini chetlab o'tish emas. Notranzitivlik B dagi resurslar nima qila olishini cheklaydi: ular A ni A peering munosabatida bo'lgan uchinchi VPC ga tranzit sifatida ishlata olmaydi. Bu hech qachon VPN foydalanuvchisi to'g'ridan-to'g'ri peered VPC ga yeta olmaydi degani bo'lmagan va bu noto'g'ri o'qishni chetlab o'tish uchun qurilgan bastion sababsiz patch qilinadigan hostdir.
Teskari xato vaqt o'tishi bilan qimmatroq: har bir jamoani allaqachon mavjud yagona bastion orqali o'tkazing, so'ng uning xavfsizlik guruhi, marshrut jadvali va patch oynasi ishlab chiqarish bog'liqligi ekanini bilib oling. host qaysi triggerga xizmat qilishini yozib qo'ying va trigger yo'qolganda uni iste'foga chiqaring.
Transit Gateway va bir nechta association arifmetikani o'zgartiradi
Agar endpoint subnetga emas, to'g'ridan-to'g'ri Transit Gateway ga ulangan bo'lsa, model o'zgaradi: mijozlar endi association subnetidagi interfeys manziliga tarjima qilinmaydi va gateway marshrut jadvallari mijoz diapazonini hamda peered VPC ga olib boradigan ulanishni ko'tarishi kerak. Bu miqyosda tozaroq, ammo ish to'rtta yozuvdan gateway marshrut jadvallariga o'tadi.
Bir nechta association tekshiruvlarni ko'paytiradi. endpoint marshruti endpointga tegishli, ammo har bir association subnetiga haqiqiy peering keyingi sakrashi bo'lgan marshrut jadvali kerak. Sessiya bitta association orqali muvaffaqiyatli bo'lishi mumkin, boshqasida qaytish yo'li bo'lmasligi mumkin, shuning uchun har birini sinab ko'ring.
Buzilishni tez topadigan tekshiruv tartibi
Bularni tartib bilan bajaring; har bir qadam keyingisi muvaffaqiyatsiz bo'lganda ham o'tishi mumkin va mijoz timeouti qaysi biri buzilganini deyarli aytmaydi.
- Mijozdan ilova nomini hal qiling va manzil peered diapazon ichida ekanini tekshiring.
- Ulaning, so'ng sessiyani tugatgan association uchun endpoint ulanish jurnalini o'qing.
- O'sha association subnetida marshrut jadvali peered diapazonni faol peering ulanishiga yo'naltirishini tasdiqlang.
- B dagi resurs subnetida interfeys diapazoni uchun qaytish yozuvini va mos guruh qoidalarini tasdiqlang.
- Bitta ruxsat etilgan amalni va yetib bo'lmaydigan bo'lib qolishi kerak bo'lgan bitta resursni sinab ko'ring; ikkinchisi disk raskadrovka qoldiqlarini ushlaydi.
- Har qanday split-tunnel marshrut o'zgarishidan keyin qayta ulaning, chunki ishlab turgan tunnel yangi marshrutlar to'plamini olmaydi.
Yodda tutishga arziydigan ikki alomat bor. B ga javobsiz yetib boradigan SYN deyarli har doim yo'qolgan qaytish marshrutidir. Tugab, keyin qayta o'rnatiladigan ulanish odatda guruh, ACL yoki ilova. Ikkalasi ham endpoint jurnalida sabab sifatida ko'rinmaydi, shuning uchun to'rtta yozuvni har birining yonida egasi bilan saqlang.
Agar uchta triggerdan hech biri amal qilmasa, marshrutlangan yo'lni tugating va o'sha to'rtta yozuvni yozib qo'ying. Agar bittasi amal qilsa, bastionni faqat shu chegara uchun saqlang va endpoint marshrutini oldida sessiya talab qilmaydigan xizmatlarga qoldiring.