EC2 mavjudlik zonalari boʻylab: VPN oldidan marshrutlashni tekshiring

Ikkita EC2 nusxasi orasida VPN dasturini oʻrnatishdan oldin bitta savolga javob bering: ular bitta VPC ichidami? Agar shunday boʻlsa, xususiy yoʻl allaqachon mavjud va zonalar boʻylab joylashtirish buni oʻzgartirmaydi. Bunday holatda ishning katta qismi har bir quyi tarmoq aslida qaysi marshrutlash jadvalini ishlatishini tasdiqlash, soʻngra nosozlik umuman marshrutlash muammosi boʻlganini aniqlashdir. Tunnel bu aniq savolga odatda notoʻgʻri javobdir.

Tekshiruv 1: bir xil VPC yoki turli VPC

VPC mintaqaviy boʻlib, mavjudlik zonalarini qamrab oladi, har bir quyi tarmoq esa aynan bitta zonaga tegishli. Bitta VPC ning turli zonalaridagi ikkita nusxa hali ham bir xil xususiy marshrutlash domeni ichida.

Turli VPC lar hech qachon faqat mintaqa yoki zona yorligʻini boʻlishgani uchun xususiy marshrut olmaydi. Bunday holat qoʻllab-quvvatlanadigan ulanish hamda oʻz marshrut va ruxsat ishini talab qiladi, bu alohida qaror.

Tekshiruv 2: quyi tarmoq marshrutlash jadvallari nima deydi

Tartibni haqiqiy qiymatlar bilan yozing. Manzili 10.60.0.0/16 boʻlgan VPC, quyi tarmoqlari 10.60.1.0/24 va 10.60.2.0/24 bilan nusxalarga 10.60.1.10 va 10.60.2.20 VPC ning lokal marshruti orqali yoʻl beradi.

Soʻngra faqat birinchi topilgan jadvalni emas, ikkala quyi tarmoqqa bogʻlangan jadvallarni koʻrib chiqing. Aniqroq tekshiruv yoki qurilma marshruti asosiy marshrutni almashtirishi mumkin, lokal marshrutning maqsadi oʻzi ham yangiroq konfiguratsiyalarda almashtirilishi mumkin. Konsolda biror joyda koʻrinadigan lokal marshrut ikkala ish yuki ham undan foydalanishini isbotlamaydi.

VPC haqiqatda beradigan xususiy manzillar va nomlardan foydalaning. Xususiy manzil 10 bilan boshlanishi shart emas, uni xotiradan oʻylab topish esa ishlab turgan muhitni notoʻgʻri tashxislash usulidir.

Tekshiruv 3: marshrutlashmi yoki avtorizatsiyami

Marshrutlash paketni faqat maqsadning tarmoq interfeysiga yetkazadi. Maqsadning xavfsizlik guruhi hali ham manba va xizmatni qabul qilishi kerak, manbaning chiqish qoidalari soʻrovga ruxsat berishi kerak va har qanday tarmoq ACL ikkala yoʻnalishga ruxsat berishi kerak, chunki ACL holatni saqlamaydi.

Uning ortida mehmon xavfsizlik devori, tinglovchining bogʻlanishi va ilovaning oʻz identifikatsiyasi turadi. Ularning har biri marshrutlash benuqson yetkazgan soʻrovni rad etishi mumkin.

Qabul ilovaning haqiqiy operatsiyasi boʻlishi kerak. Muvaffaqiyatli ping ilovaga kirish bermaydi va TLS nomi hamda hisob maʼlumotlari toʻgʻriligini isbotlamaydi, bloklangan ping esa har bir xususiy xizmat toʻxtaganini isbotlamaydi.

Tekshiruv 4: alohida ulanish haqiqatan kerakmi

VPN loyihada qolishi mumkin, lekin aytilgan sabab bilan: bu VPC ni ofisga ulash, noutbuklarni kiritish yoki qatlam ustidagi talabni bajarish. Bu sabab bitta VPC ichidagi oddiy aloqadan farq qiladi.

VPC nima emasligini ham eslang. Bu uy Ethernet segmentining kengaytmasi emas. Translyatsiya orqali aniqlashga bogʻliq ilova baholash uchun alohida talabga ega. Bu marshrutlash xatosi emas, loyihadagi boʻshliq.

Tekshiruv 5: shifrlash savoli

Xususiy manzil va ruxsat qoidasi ilova qatlamidagi kriptografik himoya haqida hech narsa demaydi. Agar maʼlumotlar chetdan chetga himoyaga muhtoj boʻlsa, u xizmat haqiqatda qoʻllab-quvvatlaydigan protokol va identifikatsiya modelidan keladi.

Loyiha yozuvida tarmoq va ilova qatlamlari haqidagi daʼvolarni alohida saqlang, chunki ularni birlashtirish hech kim joriy etmagan himoyani koʻrib chiqish oxir-oqibat daʼvo qilishiga olib keladi.

Nimani yozib qoʻyish kerak

Ikkala quyi tarmoq identifikatorini, har biriga bogʻlangan marshrutlash jadvalini, xavfsizlik guruhlari havolalarini va siz sinab koʻrgan ilova operatsiyasini yozib qoʻying. Bu toʻrt fakt va ular bu yoʻl haqidagi kelajakdagi bahslarning koʻpini hal qiladi.

Faqat zonaga joylashtirish sizga hech qachon VPN qoʻshishni aytmaydi va xususiy soʻrov nima uchun muvaffaqiyatsiz boʻlganini ham hech qachon tushuntirmaydi.