strongSwan lori EC2: jẹ́ kí VPC darí ẹrù iṣẹ́ náà

Tọ́nẹ́lì náà ti wà lórí, ẹ̀dá ẹnubodè lè pín ẹ̀rọ àjèjì, ṣùgbọ́n ẹ̀dá ìṣèlọ́nà tó wà lẹ́gbẹ̀ẹ́ rẹ̀ kò lè dé ibikíbi. Kò sí ohun tó bàjẹ́. Ìdánwò tó yege bẹ̀rẹ̀ lórí ẹ̀rọ VPN, kò sì béèrè rí pé ẹ̀rọ yẹn lè gbé àdírẹ́sì orísun mìíràn gba ìbáṣepọ̀ IPsec kan náà. Ìwé ìtọ́sọ́nà yìí pa àlàfo yẹn dé ní ìgbésẹ̀ mẹ́rin, ní ìtòlẹ́sẹẹsẹ tó ń jẹ́ kí gbogbo ìkùnà hàn.

Kọ àwọn àdírẹ́sì mẹ́rin náà sílẹ̀ kí á tó bẹ̀rẹ̀

Gbogbo ìgbésẹ̀ tó wà nísàlẹ̀ ń tọ́ka sí wọ́n, nítorí náà kún wọn fún àkọsílẹ̀ rẹ kí o tó fi ọwọ́ kan tábìlì ìtọ́sọ́nà.

VPC:             10.60.0.0/16
Gateway subnet:  10.60.1.0/24, gateway ENI address 10.60.1.10
Workload subnet: 10.60.2.0/24, application address 10.60.2.20
Remote network:  10.90.0.0/24

Àpẹẹrẹ náà gbà pé ìsopọ̀ IPsec tó dá lórí ìlànà ti jẹ́ ìfọwọ́sí tí ń ṣiṣẹ́, àti ṣíṣàn tó ń pa orísun mọ́. Èyí kì í ṣe aláìsí ìrántí NÀT tó ń yá àdírẹ́sì kan tí a yàn, àti ìyàtọ̀ yẹn ni ó pinnu bóyá àwọn aṣàyàn gbọdọ̀ yí padà.

Ìgbésẹ̀ 1: fún ẹ̀ka-àwẹ́ ẹrù iṣẹ́ ní ọ̀nà

Tábìlì ìtọ́sọ́nà tó so mọ́ ẹ̀ka-àwẹ́ ẹrù iṣẹ́ gan-an nílò ọ̀nà fún àkọ́kọ́ ọ̀nà jíjìn tó ń tọ́ka sí ojú-ọ̀nà ẹ̀rọ ẹnubodè. Ọ̀nà àlejò tí a fi sínú ẹ̀dá kì í ṣe àkọsílẹ̀ nínú tábìlì ìtọ́sọ́nà AWS yẹn, kò sì sí ìwọ̀n ìṣètò strongSwan tó máa dá ọ̀kan.

Ìtọ́sọ́nà AWS lórí ìtọ́sọ́nà nípasẹ̀ ẹ̀rọ ń ṣàlàyé àwọn àfojúsùn ojú-ọ̀nà ẹ̀rọ àti ohun tí ẹ̀dá tó ń gbé e kọjá nílò láti yẹ̀wò orísun/ìdí. Dín ìyípadà yẹ̀wò yẹn kù sí ipa ẹnubodè, kí o sì fi àwọn ẹ̀dá ìṣèlọ́nà déédéé sílẹ̀.

Má ṣe rọ́pò ọ̀nà àdúgbò VPC tàbí gbogbo àkọsílẹ̀ tó wà tẹ́lẹ̀ láti ṣí ààyè fún ẹ̀rọ kan tí a fọwọ́sí. Ṣàyẹ̀wò ohun tó so mọ́ tó sì ń ṣiṣẹ́, dípò ohun tí ojú-ìwé console fi hàn fún tábìlì ìtọ́sọ́nà tí kò sí ẹni tó ń lò. Tábìlì méjì tó jọra lè ní ìsopọ̀ ọ̀tọ̀ọ̀tọ̀. Èyí tó ṣe pàtàkì ni èyí tí ẹ̀ka-àwẹ́ ẹrù iṣẹ́ so mọ́.

Ìgbésẹ̀ 2: tanná ìtúmọ̀sí lórí àlejò

sysctl -w net.ipv4.ip_forward=1
# persist in /etc/sysctl.d/ and re-apply after reboot

Kérúnù gbọdọ̀ túmọ̀sí, ogiri iná ẹ̀rọ sì gbọdọ̀ gbà á láàyè kọjá. Fi àwọn ìlànà ìtúmọ̀sí tí a ní lọ́kàn fún àkọ́kọ́ ẹrù iṣẹ́ àti ti jíjìn kún, dípò gbígbà ohun gbogbo, kí o sì jẹ́rìí pé ẹ̀ka-àwẹ́ ẹnubodè ń pa ọ̀nà ìrìnàjò tó wúlò mọ́ fún ìrìnnà tirẹ̀.

Àwọn ẹgbẹ́ ààbò ni ibi tí ìgbésẹ̀ yìí sábà dúró sí. Ẹ̀rọ àárín kì í jogún ìhùwàsí ìtọ́kasí ẹgbẹ́ ààbò ti ìbáṣepọ̀ ẹ̀dá tààrà, nítorí náà ìlànà tí a dà kọ́ láti àpẹẹrẹ Client VPN tí a ń ṣàkóso lè má ṣe bára mu láé. Ṣàyẹ̀wò ẹgbẹ́ ààbò àti ACL ẹ̀ka-àwẹ́ lórí ọ̀nà gidi, ní ẹ̀gbẹ́ méjèèjì.

Ìgbésẹ̀ 3: gbèrò àwọn aṣàyàn sí àwọn orísun gidi

Ìlànà tó ń bo 10.60.1.10/32 nìkan ní ẹ̀gbẹ́ AWS ń ṣàlàyé àṣeyọrí tó bẹ̀rẹ̀ ní ẹnubodè láìbo 10.60.2.20. Ọ̀nà sí ibi jíjìn kì í gbèrò aṣàyàn ìrìnnà, ìyẹn sì ni ìdajì kejì ti ìyàlẹ́nu kan náà.

swanctl --list-sas
# read the installed CHILD-SA local and remote traffic selectors

Bí àpẹẹrẹ tí a gbà lórí bá ń dáàbò bo gbogbo VPC, ẹ̀gbẹ́ méjèèjì gbọdọ̀ gba 10.60.0.0/16 àti 10.90.0.0/24. Bí ó bá ń dáàbò bo ẹrù iṣẹ́ kan, lo àkọ́kọ́ tóóró yẹn pẹ̀lú ìmọ̀. Nínú ọ̀nà yòówù, ṣàyẹ̀wò ìlànà CHILD-SA tí a fi sínú, nítorí ìṣètò tí o ṣàtúnṣe àti ẹ̀gbẹ́ tó dín kù lọ́nà mìíràn kì í ṣe àdéhùn kan náà.

Ibi jíjìn gbọdọ̀ tún ṣe ìtọ́sọ́nà àwọn ìdáhùn fún àwọn orísun VPC tí a pa mọ́ padà nípasẹ̀ ẹnubodè IPsec tí a ní lọ́kàn. Pa ìyọkúrò NÀT tí a ṣe àtìlẹ́yìn fún ìrìnnà tí a dáàbò bo mọ́ níbi tí àwọn ìlànà NÀT orísun mìíràn wà; yíyí ẹrù iṣẹ́ tí a kò fọwọ́sí padà sí àdírẹ́sì ẹ̀rọ tí a gbà jẹ́ àdéhùn ìdánimọ̀ mìíràn, kì í ṣe ọ̀nà kúkúrú sí àǹfààní tí o fẹ́.

Ìgbésẹ̀ 4: jẹ́rìí, kí o sì yí padà bí ó bá yẹ

Dán wò láti inú ẹrù iṣẹ́ fúnra rẹ̀ pẹ̀lú iṣẹ́ ìṣèlọ́nà tuntun tí a gbà, kí o sì tún ṣe pẹ̀lú ibi tó yẹ kí a yọ kúrò. Kọ àdírẹ́sì orísun tí iṣẹ́ jíjìn rí àti ọ̀nà ìpadà tó ń lò. Píngì ẹnubodè tàbí ipò IKE aláwọ̀ ewé kì í ṣe ìdánwò yẹn.

Bí ẹrù iṣẹ́ bá ṣì ń kùnà nígbà tí ẹnubodè ń ṣiṣẹ́, padà sẹ́yìn nípasẹ̀ àwọn ìgbésẹ̀ lẹ́sẹẹsẹ: aṣàyàn, lẹ́yìn náà ìtúmọ̀sí àti àwọn ẹgbẹ́ ààbò, lẹ́yìn náà tábìlì ìtọ́sọ́nà tó so mọ́. Ọ̀kọ̀ọ̀kan ní àmì ọ̀tọ̀ọ̀tọ̀, ìfojúrò tẹ́lẹ̀ sì ń fo èyí tó ṣe àṣìṣe gan-an.

Yíyí padà yí ìtòlẹ́sẹẹsẹ kan náà padà. Yọ ọ̀nà ẹ̀ka-àwẹ́ ẹrù iṣẹ́ kúrò nígbẹ̀yìn, lẹ́yìn tí o bá ti dá àwọn aṣàyàn àtẹ̀yìnwá padà, kí o má bàa fi ẹ̀ka-àwẹ́ kan sílẹ̀ tó ń tọ́ka sí ẹnubodè tí kò dáàbò bo àwọn orísun rẹ̀ mọ́. Ìgbàlégbà fúnra rẹ̀ lè sin ju ẹ̀rọ ẹnubodè lọ nígbà tí àwọn àdéhùn wọ̀nyí bá dúró, Site-to-Site VPN tí AWS ń ṣàkóso sì jẹ́ àpẹẹrẹ ìṣiṣẹ́ mìíràn níbi tí strongSwan lè wà ní ẹ̀gbẹ́ ẹnubodè oníbàárà dípò.