EC2 Elastic IP instansning shaxsiy VPN manzili emas
Mehmon Elastic IP ni hech qachon koʻrmaydi. Tarjima qayerda sodir boʻlishini kuzatib boring, soʻngra sizga haqiqatan kerak boʻlgan yoʻlga tegishli manzilni tanlang.
Instansning shaxsiy manzili bor, Elastic IP u bilan bogʻlangan va oʻsha ommaviy /32 uchun marshrut VPN ga qoʻshiladi, goʻyo ikkisi bir xil narsaga aylanadi degan umidda. Aylanmaydi. Elastic IP — bu mehmon tashqarisida, internet shlyuzi tomonidan, internet yoʻlini tutgan trafikda bajariladigan tarjima. Mehmonning operatsion tizimi bu manzilni hech qachon biror interfeysda sozlangan holda koʻrmaydi. Uni tunnel interfeysiga qoʻshish yuqoridagi tarjimani qayta hosil qilmaydi va xuddi shu mashina uchun ikkinchi, qarama-qarshi identifikatsiya yaratadi.
Ikki manzil, bitta instans
Instansning tarmoq interfeysi VPC ichida shaxsiy manzilni saqlaydi va bu mehmon biladigan manzil. Elastic IP xuddi shu interfeysga bogʻlangan, lekin xaritalashning ommaviy tomonida yashaydi.
Internet orqali instansga yetib boradigan hamma narsa shaxsiy manzilga tarjima qilingan holda keladi. Instans internetga yuboradigan hamma narsa Elastic IP ni manba sifatida olib chiqadi, yana oʻsha tarjima sababli.
Mehmon ichida bitta manzil bor. Tashqarida ikkita. Shu assimetriya bu sohadagi chalkashlikning koʻp qismini tushuntiradi. Mehmon shlyuz nimani tarjima qilishini sozlay olmaydi. U faqat oʻzida haqiqatan bor manzilga javob bera oladi.
Internet shlyuzi aslida nima qiladi
AWS ning internet shlyuzi hujjati bu tartibni tasvirlaydi: instans oʻzining shaxsiy IPv4 manzilini biladi va shlyuz internet yoʻlidagi trafik uchun mos ommaviy IPv4 yoki Elastic IP tarjimasini taqdim etadi.
Bu tarmoq manzillari tarjimasi, taxallus emas. Xaritalashni shlyuz ushlab turadi, u bogʻlanishga bogʻlangan va faqat undan oʻtadigan paketlarga qoʻllanadi. Bogʻlanishni olib tashlang, ommaviy identifikatsiya mehmon hech narsa sezmay yoʻqoladi.
Shu sababli ommaviy /32 ga manzillangan shaxsiy VPN paketi mehmonning mahalliy manziliga ketadigan shaxsiy paket sifatida qayta talqin qilinmaydi. Paket mos keladigan marshrutni kuzatadi, u esa uni internet shlyuziga yuboradi, shlyuzning xatti-harakati esa yoʻl ikki tomonga ham ruxsat berilganiga bogʻliq.
Tunnel interfeysi hiylasi nima uchun muvaffaqiyatsiz boʻladi
Elastic IP ni tunnel interfeysiga tayinlash mehmondan ommaviy manzilni mahalliy deb qabul qilishni talab qiladi. Endi ikki narsa bir manzilga daʼvo qiladi: internet yoʻlida shlyuz tarjimasi va tunnel ichidagi mahalliy interfeys. Qaytish trafigida qaysi biri amal qilishiga doir izchil javob yoʻq.
Hatto ishlayotgandek koʻrinsa ham, dizayn haqiqiy savolni yashirgan. Mijozlar tunnel orqali shaxsiy manzilga yoki internet orqali ommaviy oxirgi nuqtaga yetib boradi, ikki yoʻlning xavfsizlik guruhlari, jurnallash va nosozlik usullari har xil.
Manzil hech qachon muammo boʻlmagan. Yoʻlni tanlash muammo edi.
Uch maqsad, uch dizayn
Maqsad ommaviy VPN oxirgi nuqtasi boʻlsa, Elastic IP toʻgʻri vosita: uzoq hamkorlar unga internet orqali ulanadi va shifrlangan transport instansda tugaydi. Keyin ichki ilova trafigi shaxsiy manzildan foydalanadi.
Maqsad ilovaga shaxsiy kirish boʻlsa, manzil shaxsiy manzil yoki unga hal boʻladigan shaxsiy DNS nomi boʻladi va VPN marshruti, xavfsizlik guruhi hamda qaytish yoʻli barchasi mos kelishi kerak. Elastic IP bu dizaynda umuman koʻrinmaydi.
Maqsad VPN foydalanuvchilari uchun barqaror ommaviy chiqish identifikatsiyasi boʻlsa, bu chiqish tomonidagi NAT dizayni, mijoz tunnelidagi manzil emas. Oʻxshash eshitiladigan uch maqsad uch xil diagramma beradi va ulardan faqat bittasi Elastic IP ni yangi joyga qoʻyishni oʻz ichiga oladi.
Tanlagan yoʻlingizni tekshiring
Shaxsiy kirish uchun VPN marshruti shaxsiy prefiksni qamrab olishini, VPC marshrutlar jadvali trafikni tunnelga qaytarishini, xavfsizlik guruhi mijoz manbasiga ruxsat berishini va mijozning oʻz xavfsizlik devori javobga ruxsat berishini tasdiqlang. Soʻngra ping oʻrniga bitta haqiqiy soʻrovni sinab koʻring.
Ommaviy kirish uchun mijozning internet chiqishi, ommaviy kirishning marshrutlanishi va uning xavfsizlik siyosatini tasdiqlang. VPN mijozi tunnel orqali ommaviy oxirgi nuqtaga yeta oladimi, bu tunnelning chiqish va xavfsizlik devori qoidalariga bogʻliq, Elastic IP bogʻlanishiga emas.
Agar ommaviy host nomi ikki tomondan ham ishlashi kerak boʻlsa, VPN mijozlariga shaxsiy manzil bilan va qolgan barchaga ommaviy manzil bilan javob beradigan DNS dizaynidan foydalaning va sertifikatni manzilga emas, nomga amal qiladigan qilib saqlang. Ish tartibi: maqsadni nomlang, unga tegishli manzilni tanlang, soʻngra marshrutlar, siyosat va bitta soʻrovni tekshiring.