Nega EC2 sizning AWS Client VPN noutbukingizga yetib bora olmaydi
Client VPN IPv4 mijoz manbalarini endpoint tarmoq interfeysiga aylantiradi. Shu sababli javob ishlaydi, EC2dan yangi ulanish esa ishlamaydi.
AWS Client VPN orqali ulangan noutbuk EC2 ilovasiga muammosiz yetib boradi. Keyin siz teskari yo'nalishni sinab ko'rasiz, EC2dan mijozga berilgan manzilga, va ulanish osilib qoladi yoki rad etiladi. Bu nosimmetriklik kamdan-kam hollarda yetishmayotgan xavfsizlik guruhi qoidasi bo'ladi. VPC quyi tarmoqlari bilan bog'langan Client VPN endpointida AWS IPv4 mijoz manbalarini endpointning tarmoq interfeysiga aylantiradi, shuning uchun noutbukingizni ifodalovchi kiruvchi VPC manzili yo'q.
Capture ko'rsatgan narsadan boshlang
Mijoz ulanayotganda EC2 xostida capture oling va ilova haqiqatda ko'radigan manba manzilini o'qing. Agar u mijozlar hovuzidan manzil emas, VPC tomonidagi endpoint interfeysi bo'lsa, bitta qoidani o'zgartirishdan oldin konversiya tasdiqlangan.
Mijozlar hovuzi bu ajratish diapazoni, qaytish marshruti bor quyi tarmoq emas. Aynan shu farqda bunday tekshiruvlarning aksariyati xato qiladi.
Nosimmetriklikni tushuntiruvchi konversiya
Uch oqim bir-biri bilan aralashtiriladi va ulardan faqat bittasi odamlar sinaydigan oqimdir.
| Flow | Started by | What the VPC sees | Outcome |
|---|---|---|---|
| Client to EC2 service | The client | A translated source at the endpoint interface | Works, with a stateful reply |
| EC2 host to client pool address | The EC2 host | A destination with no route and no translation state | No usable path |
| Client to client | A client, when the feature is configured | Traffic mediated by the endpoint | Works only with that feature and its authorisation |
Client VPN komponentlarining tavsifi IPv4 mijoz manbalari endpoint interfeysiga aylantirilishini aniq aytadi, bu esa o'rta qatorda nima uchun solishtiradigan narsa yo'qligini ko'rish uchun yetarli.
Yangi ulanish marshrut, manzilni hal qilish qadami va avtorizatsiya qarorini talab qiladi. Boshqa birovning sessiyasidagi konversiya holati bu uchtadan birortasini ham bermaydi.
Nega javob yangi ulanish emas
TCP javobi mavjud yozuv bilan moslashtiriladi, shu sababli qaytish yo'li hech qanday kiruvchi qoidasiz ishlaydi. EC2 xostidan kelgan yangi SYN moslashtiradigan yozuv topmaydi, shuning uchun VPC qanday yetib borishni bilmaydigan manzilga qarab oddiy chiquvchi urinishga aylanadi.
Shu sababli buni faqat bir yo'nalishda ketadigan trafik deb ta'riflash chalg'itadi. Bu sessiyalarda qaytish trafigi to'xtovsiz oqadi. Yo'lsiz qism — boshlanish.
Ishlashi kerak bo'lgan sessiyani hali nima buzadi
Xavfsizlik guruhlari, tarmoq ACLlari va noutbukning o'z firewall'i muvaffaqiyatli bo'lishi kerak bo'lgan ulanishlar uchun muhim. Muvaffaqiyatsiz ping eng kam ma'lumot beradi, chunki ICMP siyosati ko'pincha sizni qiziqtiradigan TCP siyosatidan alohida.
Bu qoidalarni konversiya qilingan manbaga ko'ra yozing, mijoz manziliga ko'ra emas. Tarmoqda hech qachon ko'rinmaydigan manzilga bog'langan qoidalar bu dizayndagi eng ko'p uchraydigan o'z keltirgan xatodir.
VPC haqiqatan suhbatni boshlashi kerak bo'lganda
Agar xizmat ish stansiyasiga xabar berishi kerak bo'lsa, yo'nalishni teskari qiling va mijoz xizmat javob beradigan doimiy chiquvchi kanalni ushlab turishiga ruxsat bering. Agar butun masofaviy tarmoq VPCdan kirish mumkin bo'lishi kerak bo'lsa, Client VPN buni allaqachon qiladi deb o'ylash o'rniga o'z prefikslari va kirish siyosatini e'lon qiladigan arxitekturani tanlang. Mijozdan mijozga kirish uchinchi, torroq holat bo'lib, o'z marshrut va avtorizatsiya obyektlariga ega. Bularning hech biri mavjud endpointdagi shunchaki katakcha emas.
IPv4 tushuntirish ko'lamini ham halol saqlang. Hozirgi AWS hujjatlari IPv6ni, u yerda bu konversiya qo'llanilmasligini, va boshqacha marshrutlaydigan boshqa ulanish modellarini ajratadi.
Uch belgilangan qadamda sinang: mijoz ruxsat etilgan sessiya ochadi, VPC xizmati o'sha sessiyaga javob beradi va VPC xosti mijoz tomon yangi sessiya ochadi. Birinchi ikkitasining muvaffaqiyatli, uchinchisining muvaffaqiyatsiz bo'lishi bu dizaynning kutilgan shaklidir, firewall qoidalari bilan quvadigan nuqson emas.