AWS NAT shlyuzi VPN tomon qaysi manba IP dan foydalanadi?

VPC konsolini ochasiz, chunki hamkor sayt-saytga VPN orqali qaysi manba diapazoni kelishini so'radi. NAT shlyuzlari sahifasi Elastic IP biriktirilgan ommaviy shlyuzni ko'rsatadi va vasvasa shu manzilni yuborib, davom etishdir. Bu internet yo'li uchun to'g'ri javob va VPN yo'li uchun noto'g'ri javob, farq esa marshrut jadvali qaysi shlyuzga ishora qilishida. Ruxsat ro'yxatini yozishdan oldin yo'lni bosib chiqing.

Ruxsat ro'yxatidan emas, NAT shlyuzlari sahifasidan boshlang

NAT shlyuzlari sahifasi sizga subnetni, turni va Elastic IP ni aytadi va bu uch maydon boshlash uchun yetarli. Aytmaydigan narsa — trafik keyin yuradigan yo'l. Bu NAT shlyuzining subnetiga biriktirilgan marshrut jadvallaridan keladi.

Avval turni o'qing, chunki ommaviy yoki xususiy bo'lish zanjirda keyinroq internet shlyuzi paydo bo'lishini belgilaydi. Keyin subnetni o'qing, chunki ikkinchi marshrut shu yerda.

Ikkala o'zgartirishni kuzatib boring

Ham ommaviy, ham xususiy NAT shlyuzlari ish yukining xususiy IPv4 manbasini NAT shlyuzining o'z xususiy IPv4 manziliga aylantiradi. Bu birinchi o'zgartirish turdan qat'i nazar sodir bo'ladi. Ikkinchi o'zgartirish odamlar unutadigan narsa: ommaviy NAT shlyuzi trafikni internet shlyuziga topshiradi, u esa manzilni biriktirilgan Elastic IP ga xaritalaydi.

workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> internet gateway -> Elastic IP 203.0.113.25
workload 10.20.1.5 -> NAT gateway 10.20.2.10 -> transit or virtual private gateway -> partner sees 10.20.2.10

Xususiy yo'lda zanjirda internet shlyuzi yo'q. Trafik tranzit shlyuzi yoki virtual xususiy shlyuz orqali chiqqanda, NAT shlyuzlari qo'llanmasi NAT shlyuzining xususiy manzilini uzoq tomon oladigan manba sifatida hujjatlashtiradi. Hamkor ruxsat berishi kerak bo'lgan manzil shu, Elastic IP emas.

VPN yo'li odatda xususiy manzilni ko'rsatadi

10.20.1.0/24 dagi ish yuki hamkor prefiksiga yetganda, ish yuki subnetining marshrut jadvali NAT shlyuziga, NAT shlyuzining subneti marshrut jadvali esa xususiy shlyuz yo'liga ishora qiladi. Ikkala sakrash ham muhim va hamkor nima ko'rishini faqat ikkinchisi belgilaydi. Agar NAT subnetida VPN yo'liga marshrut bo'lmasa, paket hech qachon yetib bormaydi va bu noto'g'ri manba manzilidan boshqa nosozlik.

Manzillar haqida gapirishdan oldin o'sha ikkinchi marshrutni tekshiring. Yo'q marshrut va noto'g'ri xabar qilingan manba trafikni ko'rmayotgan hamkor uchun bir xil ko'rinadi.

Ikkinchi o'zgartirish javobni o'zgartirganda

AWS shuningdek tranzit shlyuz biriktirmasida aniq, mos keladigan birga-bir NAT xaritalashni taklif qiladi. Bu xaritalash uzoq xizmat ko'rishidan oldin manbani yana bir marta o'zgartirishi mumkin va bu faqat marshrutlaydigan standart xatti-harakat emas. Uni ataylab sozlash kerak bo'lgani uchun, tasodifan meros qoladigan narsa emas, dizayn istisnosi deb qarang. Agar jamoangizda hech kim uni yoqqanini eslamasa, biriktirmani o'qiguningizcha u yo'q deb hisoblang.

Agar dizayningiz undan foydalansa, ruxsat ro'yxati NAT shlyuzining manzilini emas, yakuniy xaritalashni tavsiflashi kerak. Xuddi shu ehtiyotkorlik mavjudlik yo'llariga ham tegishli: bir nechta shlyuz manzillari ishtirok etganda kutilayotgan manba to'plami birlashma, bitta vakil manzil emas. Har bir manzil qaysi o'zgartirishga tegishli ekanini yozib qo'ying, chunki kelib chiqishi yo'q ro'yxatni keyin audit qilib bo'lmaydi.

Xususiy NAT shlyuziga uni internet shlyuziga yo'naltirish bilan internet xizmati berib bo'lmaydi; AWS bunday trafik tashlanashini hujjatlashtiradi. Turni butun yo'ldan tanlang, talabdagi VPN so'zidan emas.

Hamkoringiz amal qilishi mumkin bo'lgan shartnoma yozing

Foydali shartnoma to'rt qismdan iborat: oqimlar boshlanadigan yo'nalish, hamkor ko'radigan o'zgartirilgan shaxsiyat, shu shaxsiyat uchun qaytish yo'li va amal qiladigan himoya doirasi. NAT shlyuzi oqimlari qo'llab-quvvatlanadigan manba tomondan boshlanadi, shuning uchun bu xususiy ish yukini ochish uchun kiruvchi port yo'naltirish xizmati emas. Buni erta baland ovozda aytish har bir tomon boshqasi boshladi deb o'ylagan dizayn ko'rib chiqishini oldini oladi.

O'zgartirish manzillar ustma-ust tushishidan yengillik va oldindan aytish mumkin bo'lgan manba siyosatini sotib oladi, hamkor jurnallarida esa individual ish yuki shaxsiyatini sizdan oladi. Agar audit har bir ish yuki bo'yicha tegishlilikni talab qilsa, bu shaxsiyatni o'zgartirilgan manba manzilidan tiklashga urinish o'rniga ilova qatlamida saqlang.

Keyin har qanday o'zgarishdan so'ng ikkala marshrut jadvalini yana tekshiring, chunki yangi biriktirma yoki qayta bog'langan subnet javobni jim qayta yozadi.