AWS Client VPN tàbí bastion láti dé VPC tí ó ní peering

Endpoint Client VPN kan lè dé VPC tí ó ní peering pẹ̀lú VPC tí ó so mọ́ ẹ, kò sì pọn dandan kí o ní bastion láti jẹ́ kí ìyẹn bọ́ sí òfin. Yíyàn tí ó yẹ kí a ṣe ni ibi tí ìrìnàjò ń pààrọ̀ ọwọ́: ọ̀nà endpoint tí ó ń gbalẹ̀ sínú subnet ìsopọ̀ tí ó sì ń kọjá ìsopọ̀ peering, tàbí host nínú VPC tí ó ní peering tí ó ń pari ìpàdé. Àwọn ọ̀nà méjèèjì ń ṣiṣẹ́, wọ́n sì ń kùnà ní ibi oríṣiríṣi, nítorí náà ìpinnu náà jẹ́ nípa ẹ̀tọ́-ìní àti àyẹ̀wò, kì í ṣe nípa ohun tí AWS ń gbà láyè. Èyí ni bí mo ṣe ń yàn láàrin wọn, àti àwọn ìforúkọsílẹ̀ mẹ́rin tí ó ń jẹ́ kí ọ̀nà tí a tọ́ ṣiṣẹ́.

Ọ̀nà méjì, endpoint kan, olówó oríṣiríṣi

Ní ọ̀nà tí a tọ́, ìrìnàjò alábàákẹ́gbẹ́ ń dé endpoint, a máa ń túmọ̀ rẹ̀ sí àdírẹ́sì interface nẹ́tíwọ́kì Client VPN nínú subnet ìsopọ̀, ó sì ń jáde kúrò nínú subnet yẹn nípasẹ̀ ìsopọ̀ peering láti A dé B. VPC B kò pari ìpàdé VPN kankan; ó ń rí ìrìnàjò àárọ̀ láti VPC A, ìdí nìyẹn tí ọ̀nà ìpadà rẹ̀ fi ń tọ́ka sí VPC A, kì í ṣe àkójọ àwọn alábàákẹ́gbẹ́.

Ní ọ̀nà bastion, alábàákẹ́gbẹ́ kọ́kọ́ dé host. Bastion nínú A ṣì ń jẹ́ kí ìfò mẹ́ta kẹ́yìn kọjá ìsopọ̀ peering, nítorí náà iṣẹ́ peering ń wà, a sì ń fi ìpàdé kan kún un. Bastion nínú B pẹ̀lú nílò ọ̀nà láti ọ̀dọ̀ alábàákẹ́gbẹ́, nígbà tí ọ̀nà yẹn bá jẹ́ ọ̀nà endpoint kan náà, o ní àpẹẹrẹ tí a tọ́ pẹ̀lú ìfò àfikún kan. Bastion kì í yọ iṣẹ́ kúrò bí kò ṣe nígbà tí ó ti wà tẹ́lẹ̀, tí a ti gbà á láyè tẹ́lẹ̀, tí ohun tí ó wà lẹ́yìn rẹ̀ sì nílò ààlà ìpàdé kì í ṣe ààlà nẹ́tíwọ́kì.

Ìforúkọsílẹ̀ mẹ́rin ń jẹ́ kí ọ̀nà tí a tọ́ ṣiṣẹ́

AWS ń kọ ipò yìí sílẹ̀ lórí ojú-ìwé Client VPN how-it-works, ní ìṣe ó sì ń dé ìforúkọsílẹ̀ mẹ́rin tí ẹgbẹ́ méjì tàbí mẹ́ta ní. Àwọn ìwọ̀n jẹ́ àpẹẹrẹ; ìwọ̀n peering gbọdọ̀ jẹ́ àkànṣe, ìwọ̀n ìpadà sì gbọdọ̀ bá ètò rẹ mu.

Ọ̀nà àti ìyọ̀ǹda jẹ́ ìṣàkóso ọ̀tọ̀ọ̀tọ̀. Ọ̀nà endpoint tí ó tọ́ láìsí òfin ìyọ̀ǹda tí ó bá mu kò fún alábàákẹ́gbẹ́ ní nǹkan; òfin ìyọ̀ǹda fún ibi tí endpoint kò lè tọ́ ọ̀nà sí ń fún un ní ihò dúdú. Àwọn méjèèjì gbọdọ̀ dárúkọ ìwọ̀n kan náà.

Ọ̀nà endpoint ń tọ́ka sí subnet nínú VPC endpoint fúnra rẹ̀, kì í tọ́ka sí ìsopọ̀ peering rárá. Àwọn tábìlì ọ̀nà VPC ń tọ́ka sí ìsopọ̀ peering, wọn kì í tọ́ka sí instance tàbí interface rárá. Dídaakọ iye kan láàrin àwọn méjèèjì ń gbàlẹ̀ láìsí ẹ̀dùn, kò sì ń tọ́ ọ̀nà kankan.

Nítorí subnet ìsopọ̀ ń túmọ̀ orísun alábàákẹ́gbẹ́, B gbọdọ̀ tọ́ ọ̀nà padà sí VPC A, kì í ṣe àkójọ alábàákẹ́gbẹ́. Fífi ìwọ̀n alábàákẹ́gbẹ́ ránṣẹ́ kọjá ìsopọ̀ peering dà bí ohun tí ó dọ́gba, ó ń kọjá àyẹ̀wò, ó sì ń kùnà ní ìdákẹ́jẹ́ nítorí B kò rí pákẹ́tì tí orísun rẹ̀ jẹ́ alábàákẹ́gbẹ́ rárá.

Àwọn ẹgbẹ́ ààbò àti mítà ìkẹyìn ìyọ̀ǹda

Ìtọ́ ọ̀nà ń mú pákẹ́tì wá sínú B; B ṣì ń pinnu. Fún ìsopọ̀ peering tí ó ń ṣiṣẹ́ ní ẹkùn kan náà, ẹgbẹ́ ààbò nínú B lè tọ́ka sí ẹgbẹ́ tí a lò lórí ìsopọ̀ Client VPN, èyí tí ó ń jẹ́ kí òfin dúró tínrín, ó sì ń faradà ìyípadà àdírẹ́sì. Níbi tí ìtọ́ka ẹgbẹ́ kò bá ṣeé ṣe, gbà ìwọ̀n subnet ìsopọ̀ láyè ní kedere dípò fífẹ̀ sí 0.0.0.0/0, èyí tí ó ń sọ àṣìṣe ìtọ́ ọ̀nà di àkókò ìdúró tí kò ní àlàyé.

Lẹ́yìn náà ṣàyẹ̀wò ohun tí ìtọ́ ọ̀nà kò fọwọ́ kàn rárá: ACL nẹ́tíwọ́kì lórí àwọn subnet méjèèjì, àkọsílẹ̀ ìyọ̀ǹda tàbí olùgbọ́ token app, àti DNS. Peering kò ṣe àdàkọ àwọn agbègbè tí a gbàléjò ní àdáni, nítorí náà kọ̀mpútà àgbékalẹ̀ lè di ọ̀nà tí ó ń ṣiṣẹ́ mú sí àdírẹ́sì tí kò lè yanjú, ìsopọ̀ peering kò sì fi ìgbẹ́kẹ̀lé kún ìwé-ẹ̀rí. Tọ́ endpoint sí resolver tí ó ń dáhùn fún B, lẹ́yìn náà jẹ́rìí pé orúkọ àdáni àti ìwé-ẹ̀rí bá ara wọn mu.

Nígbà tí bastion jẹ́ ìdáhùn olóòótọ́

Mo ń pa ìmúṣẹ mẹ́ta mọ́ fún yíyan bastion pẹ̀lú ìmọ̀. VPC tí ó ní peering jẹ́ ti ẹgbẹ́ tí kò ní fi ọ̀nà ìpadà kún fún ìwọ̀n rẹ tàbí tí kò ní gba ìtọ́ka ẹgbẹ́. Ìwọlé gbọdọ̀ jẹ́ ìfọwọ́sí tàbí kíkọ sílẹ̀ fún ìpàdé kọ̀ọ̀kan, app kò sì lè gbé e fúnra rẹ̀. Tàbí ìfò mẹ́ta kẹ́yìn gbọdọ̀ wà nínú B nítorí pé a ń yanjú iṣẹ́ níbẹ̀ nìkan, a sì ti so ìdánimọ̀ TLS rẹ̀ mọ́ orúkọ inú.

Kò sí nínú ìwọ̀nyí tí ó ń yẹ peering kọjá, pé peering kì í ṣe àrékọjá. Àìṣe-àrékọjá ń dín ohun tí àwọn ohun-èlò nínú B lè ṣe kù: wọn kò lè lo A gẹ́gẹ́ bí àrékọjá sí VPC kẹta tí A ní peering pẹ̀lú. Ìyẹn kò tí ì túmọ̀ rí pé olùlò VPN kò lè dé VPC tí ó ní peering ní tààrà, bastion tí a kọ́ láti yẹ ìkàwé tí kò tọ́ yẹn sì jẹ́ host tí a ń pọ́ọ̀nù láìsí ìdí.

Àṣìṣe òdìkejì ń náwó jù ní àkókò: gbé gbogbo ẹgbẹ́ kọjá bastion kan tí ó ti wà, lẹ́yìn náà ṣàwárí pé ẹgbẹ́ ààbò rẹ̀, tábìlì ọ̀nà rẹ̀ àti fèrèsé pọ́ọ̀nù rẹ̀ ni ìgbẹ́kẹ̀lé iṣẹ́-ìjáde. Kọ ẹni tí host ń sin, kí o sì yọ ọ́ kúrò nígbà tí ìmúṣẹ náà bá lọ.

Transit Gateway àti ọ̀pọ̀lọpọ̀ ìsopọ̀ ń yí ìṣirò padà

Bí endpoint bá so mọ́ Transit Gateway tààrà dípò subnet, àpẹẹrẹ náà yí padà: a kì í túmọ̀ àwọn alábàákẹ́gbẹ́ sí àdírẹ́sì interface nínú subnet ìsopọ̀ mọ́, àwọn tábìlì ọ̀nà gateway sì gbọdọ̀ gbé ìwọ̀n alábàákẹ́gbẹ́ pẹ̀lú ìsopọ̀ tí ó ń lọ sí VPC tí ó ní peering. Ìyẹn mọ́ jù ní ìwọ̀n, ṣùgbọ́n iṣẹ́ ń ṣí láti ìforúkọsílẹ̀ mẹ́rin sí àwọn tábìlì ọ̀nà gateway.

Ọ̀pọ̀lọpọ̀ ìsopọ̀ ń ṣe àwọn àyẹ̀wò púpọ̀. Ọ̀nà endpoint jẹ́ ti endpoint, ṣùgbọ́n subnet ìsopọ̀ kọ̀ọ̀kan nílò tábìlì ọ̀nà pẹ̀lú ìfò tókàn peering gidi. Ìpàdé lè ṣàṣeyọrí nípasẹ̀ ìsopọ̀ kan nígbà tí òmíràn kò ní ọ̀nà ìpadà, nítorí náà dán ọ̀kọ̀ọ̀kan wò.

Ìtẹ̀lé ìmúdájú tí ó ń rí ìjá ní kíákíá

Ṣe àwọn wọ̀nyí ní ìtẹ̀lé; ìgbésẹ̀ kọ̀ọ̀kan lè kọjá nígbà tí èyí tí ó tẹ̀lé ń kùnà, àkókò ìdúró alábàákẹ́gbẹ́ sì kì í sọ èyí tí ó já rárá.

1. Yanjú orúkọ app láti alábàákẹ́gbẹ́, kí o sì ṣàyẹ̀wò pé àdírẹ́sì wà nínú ìwọ̀n peering.
2. So mọ́, lẹ́yìn náà ka àkọsílẹ̀ ìsopọ̀ endpoint fún ìsopọ̀ tí ó pari ìpàdé.
3. Lórí subnet ìsopọ̀ yẹn, jẹ́rìí pé tábìlì ọ̀nà ń tọ́ ìwọ̀n peering sí ìsopọ̀ peering tí ó ń ṣiṣẹ́.
4. Lórí subnet ohun-èlò nínú B, jẹ́rìí ìforúkọsílẹ̀ ìpadà fún ìwọ̀n interface àti àwọn òfin ẹgbẹ́ tí ó bá mu.
5. Dán ìgbésẹ̀ kan tí a gbà láyè àti ohun-èlò kan tí ó gbọdọ̀ wà ní àìdéwọ̀; èyí kejì ń mú àwọn ìyókù àṣìṣe wò.
6. So mọ́ padà lẹ́yìn ìyípadà ọ̀nà split-tunnel kọ̀ọ̀kan, nítorí tunnel tí ó ń ṣiṣẹ́ kò ní gba ètò ọ̀nà tuntun.

Àmì méjì yẹ ní ìrántí. SYN tí ó dé B láìsí ìdáhùn fẹ́rẹ̀ẹ́ jẹ́ ọ̀nà ìpadà tí ó sọnù nígbà gbogbo. Ìsopọ̀ tí ó pari tí a sì tún ṣe é padà máa ń jẹ́ ẹgbẹ́, ACL tàbí app. Kò sí èyí tí ó farahàn nínú àkọsílẹ̀ endpoint gẹ́gẹ́ bí ìdí, nítorí náà pa ìforúkọsílẹ̀ mẹ́rin mọ́ pẹ̀lú olówó lẹ́gbẹ̀ẹ́ ọ̀kọ̀ọ̀kan.

Bí kò bá sí ìmúṣẹ kan nínú mẹ́ta tí ó kan, pari ọ̀nà tí a tọ́ kí o sì kọ àwọn ìforúkọsílẹ̀ mẹ́rin yẹn sílẹ̀. Bí ọ̀kan bá kan, pa bastion mọ́ fún ààlà yẹn nìkan, kí o sì fi ọ̀nà endpoint sílẹ̀ fún àwọn iṣẹ́ tí kò nílò ìpàdé ní iwájú wọn.