LAN lẹ́yìn ìsèsí AWS Client VPN kan: kí ni wọ́n ń gbé lọ

Laptop so mọ́ ibi ìparí AWS Client VPN, dé inú subnet aládàáni, gbogbo nǹkan sì dàbí ẹni tí ó yá. Desktop tó wà lórí LAN kan náà kò dé ibikíbi, bó tilẹ̀ jẹ́ pé host Linux pẹ̀lú ní interface afárá àti pé ẹ̀rọ méjèèjì wà lórí okùn kan náà. Kò sí nǹkan tí wọ́n ṣe lọ́nà tí kò tọ́ nínú ihò àrà ọ̀nà; apá tó ṣèẹ́ ni ìtọ́sọ́nà, afárá sì jẹ́ àmì tí ó ṣiná.

Fífẹ̀ ìsèsí Client VPN kan sí LAN jẹ́ ipá ẹnubodè. Kì í ṣe apá Ethernet tí wọ́n fà sínú iṣẹ́ tí wọ́n ń ṣàkóso.

Host ń ṣiṣẹ́ tí LAN kò ṣiṣẹ́

Interface ihò àrà ọ̀nà lórí ẹ̀rọ Linux ní àdírẹ́sì nínú CIDR client Client VPN, ibi ìparí sì ti ti àwọn ọ̀nà fún àwọn ìwọn VPC. Ìbéèrè tí wọ́n ṣe lórí ẹ̀rọ yẹn jẹ́ ìṣàn tí wọ́n ṣẹ̀dá níbẹ̀: ó yan ọ̀nà kan, ó jáde gba ihò àrà ọ̀nà, ó sì gba ìdáhùn. Ọ̀nà yẹn kò fi ọwọ́ kan kóòdù gbígbé lọ, interface LAN tàbí ìlànà odi iná kankan tí ń ṣàkóso ìrékọjá.

Ìṣàn tí ó ń bọ̀ láti ẹ̀rọ LAN mìíràn jẹ́ ìṣàn mìíràn. Ó dé interface LAN, ó nílò ọ̀nà tí ó tọ́ka sínú ihò àrà ọ̀nà, ó nílò gbígbé lọ tí ó ṣí, ó nílò odi iná tí ó gbà á, ó sì nílò kí ìdáhùn padà wá gba host kan náà. Àwọn ipò mẹ́rin, àti pé àdánwò laptop tó ń ṣiṣẹ́ kò fi èyíkéyìí wọn hàn. Láti desktop, àìṣeyẹyọ dàbí nǹkan àjèjì: ihò àrà ọ̀nà wà lókè, àwọn ẹ̀rí tọ́, ibi tí wọ́n ń lọ kò sì dáhùn rárá. Àbùkù wà níbẹ̀ nínú ọ̀nà gbígbé lọ ti ẹnubodè, kì í ṣe nínú iṣẹ́.

Kì í ṣe gbogbo client ni ó lè di ẹnubodè

AWS sọ pé ohun èlò desktop Client VPN wọn kò ṣe àtìlẹ́yìn gbígbé IP lọ, àti pé àwọn client mìíràn lè ṣe. Ìfòfindè yẹn ń pinnu ìkọ́lé àrà ọ̀nà kí wọ́n tó tẹ àṣẹ kankan. Bí client kan ṣoṣo tí ó wà bá jẹ́ ohun èlò desktop ìjọba, ẹnubodè Linux tí ń gbé lọ fún LAN kì í ṣe ìṣètò tí o lè parí, kò sì sí ìwọ̀n masquerading tí yóò yí i padà.

Client àrọ́wọ́tó gbọ́dọ̀ bá ọ̀nà ìjẹ́rìí ibi ìparí àti ìlànà tí o ń fẹ́ fi àṣẹ mu mu pẹ̀lú. Àwọn ibi ìparí tí ó dá lórí ẹ̀rí, ìtọ́sọ́nà àti SAML kò gba ìṣètò client kan náà, client ẹlẹ́kẹta tí ó ń jẹ́rìí ṣùgbọ́n tí ó kọ àwọn ọ̀nà tí wọ́n ti gbé lọ sí kò sì jẹ́ ìmúdára.

Ka yíyan client sí apá ìgbéwò ẹ̀dà. Ó ń pinnu bóyá àwópò gbígbé LAN lọ wà rárá, ó sì ń pinnu irú ìdánimọ̀ tí ibi ìparí ń rí fún ẹ̀rọ kọ̀ọ̀kan lẹ́yìn ẹnubodè. Kọ client àti ìṣètò ibi ìparí tí wọ́n dán wò sílẹ̀. Ìyípadà client lẹ́yìn oṣù mẹ́fà lè yọ agbára tí ẹ̀dà náà gbà kúrò ní ìdákẹ́jẹ́.

Darí LAN sí ihò àrà ọ̀nà kí o sì túmọ̀ rẹ̀

Bí client tí wọ́n ṣe àtìlẹ́yìn bá wà, ìyókù jẹ́ iṣẹ́ ẹnubodè lasan. Àwọn ẹ̀rọ LAN nílò ọ̀nà fún ìwọn VPC tí ó tọ́ka sí host Linux, host sì nílò gbígbé lọ tí ó ṣí. Bí o bá fẹ́ kí VPC rí ìṣàn náà gẹ́gẹ́ bí client tí ó so mọ́ kì í ṣe gẹ́gẹ́ bí àdírẹ́sì LAN àìlẹ́rù, túmọ̀ orísun náà nígbà tí ó ń jáde.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Fi ìlànà náà mọ́ interface ihò àrà ọ̀nà àti ìwọn VPC, gẹ́gẹ́ bí ó ti wà lókè, dípò kí o ṣe masquerading ohun gbogbo tí host ń gbé lọ. Ìlànà tí ó tẹ́ńbẹ́lẹ̀ rọrùn láti ronú lé lórí, kò sì yí ìṣàn tí ó yẹ kí ó pa àdírẹ́sì orísun ìpilẹ̀ rẹ̀ mọ́ padà ní ìdákẹ́jẹ́.

Jẹ́ kí ọ̀nà LAN wá fúnra rẹ̀ bí ó bá ṣeé ṣe: àṣàyàn DHCP, ìkéde ọ̀nà, tàbí ọ̀nà ìdúró tí ẹni tí ń ṣàkóso LAN ti gbé lọ. Ọ̀nà tí ó wà lórí ẹ̀rọ àdánwò kan ṣoṣo yóò jẹ́ kí ẹ̀dà náà dàbí ẹni tí ó ti bàjẹ́ ní àkókò tí ẹlòmíràn bá gbìyànjú rẹ̀.

Ìdáhùn pẹ̀lú nílò ọ̀nà

Nígbà tí ìbéèrè bá dé VPC, ìdáhùn gbọ́dọ̀ padà wá gba àwọn ipò ìtumọ̀ kan náà kí ó sì rí ọ̀nà LAN lórí ẹnubodè. Apá yẹn sábà máa ń ṣiṣẹ́ nígbà tí ìlànà masquerade wà, nítorí pé àwòrán ń gbé lórí host tí ó ṣe é. Ó ń bàjẹ́ nígbà tí ẹ̀gbẹ́ VPC ní ọ̀nà tí ó ń fi ìdáhùn ránṣẹ́ síbòmìíràn, ìdí nìyẹn tí ọ̀nà CIDR client àti ìsopọ̀ subnet lórí ibi ìparí fi ṣe pàtàkì.

Wo àwọn olùkà, kì í ṣe ping nìkan. Ìlànà masquerade tí kò ní pákítì kan ń sọ fún ọ pé ìbéèrè kò dé interface ihò àrà ọ̀nà rí, èyí tí ó tọ́ka padà sí ọ̀nà LAN tàbí tábìlì ìtọ́sọ́nà client fúnra rẹ̀. Ìlànà tí ó ní pákítì ṣùgbọ́n tí kò ní ìdáhùn ń tọ́ka sí ẹ̀gbẹ́ VPC, àwọn ìlànà àṣẹ, tàbí ẹgbẹ́ ààbò tí kò gba orísun tí wọ́n túmọ̀. Ka àwọn ọ̀nà méjèèjì kí o tó yí nǹkan kan padà, nítorí pé ìṣirò tí ó ń pọ̀ sí ní ẹ̀gbẹ́ kan ṣoṣo jẹ́ ọ̀nà ẹ̀gbẹ́ kan, kì í ṣe ọ̀nà tí ó lọra.

Rántí pé ibi ìparí jẹ́ iṣẹ́ tí wọ́n ń ṣàkóso. Kò sí fáìlì ìṣètò server láti ṣàtúnṣe àti kò sí ìtọ́nisọ́nà client-config láti fi kún, nítorí náà àwọn ìtọ́nisọ́nà tí wọ́n kọ fún server OpenVPN tí ń ṣàkóso ara rẹ̀ pẹ̀lú àwọn ọ̀nà subnet client àkànṣe kò ń gbé kọjá. Ní AWS, àwọn ohun ìfà ni ìsopọ̀ subnet, àwọn ìlànà àṣẹ àti àwọn tábìlì ìtọ́sọ́nà VPC.

Ìdánimọ̀ àjọpín ni apá tí ìlànà gbọ́dọ̀ dáhùn

Gbogbo ẹ̀rọ lẹ́yìn ẹnubodè ń lo ìsèsí VPN ti ẹnubodè. Àwọn ìlànà àṣẹ ibi ìparí ń fún olùmúlò tàbí ẹgbẹ́ ní ààyè, àti ní ojú ìwòye iṣẹ́, olùmúlò kan ṣoṣo wà lórí ìsèsí yẹn. Gbígbé lọ níbẹ̀ kò ṣe ìdánimọ̀ yẹn ní púpọ̀ sí ìjẹ́rìí fún ẹ̀rọ kọ̀ọ̀kan, kò sì fẹ̀ àwọn àyẹ̀wò ipò ẹ̀rọ dé ẹ̀rọ ìtẹ̀wé tí ó wà ní igun.

Ìyẹn lè jẹ́ ohun tí wọ́n gbà, tàbí ó lè jẹ́ ìdí tí wọ́n fi kọ ẹ̀dà náà. Ó dá lórí ohun tí àwọn ohun èlò VPC gbà nípa ẹni tí ń pè. Ìdánimọ̀ àjọpín tí ó bá àwòṣe àṣẹ mu dára; èyí tí ó ń yí ìsèsí ìjẹ́rìí kan padà sí ààyè jákèjádò LAN ní ìdákẹ́jẹ́ jẹ́ àwárí tí ó ń dúró kí wọ́n kọ ọ́.

Bí ohun tí wọ́n nílò bá kún náà jẹ́ síso gbogbo ibi kan mọ́ VPC, fi ẹ̀dà ibi-sí-ibi tí wọ́n ṣe àtìlẹ́yìn wéèrè kí o tó fẹ̀ client ààyè jìnnà. Ìtumọ̀ yàtọ̀, ìsèsí client tí ó gba NAT kò sì dára gẹ́gẹ́ bí àrọ́wọ́tó fún ìsopọ̀ ibi nígbà tí VPC nílò láti bẹ̀rẹ̀ ìsopọ̀ sínú LAN.

Pinnu client, ọ̀nà, ìtumọ̀ àti ìtàn ìdánimọ̀ ní ìtòlẹ́sẹẹsẹ yẹn. Ọ̀kọ̀ọ̀kan ń dè èyí tí ó tẹ̀lé, ìtòlẹ́sẹẹsẹ sì ń ṣàlàyé ìdí tí host fi ń ṣiṣẹ́ tí LAN kò ṣiṣẹ́.