VGW tàbí TGW? Ibì tí ọ̀nà IPsec ti AWS Site-to-Site parí

Àwọn ènìyàn béèrè ibi tí AWS Site-to-Site VPN ti dáàbò bo packet dúró, wọ́n sì retí ìdáhùn kan ṣoṣo: ní ẹnubodè. Ẹ̀yà ìdáhùn tó wúlò máa ń dárúkọ ẹnubodè wo, nítorí ẹnubodè àdáni ẹ̀rọ àti ẹnubodè ìrékọjá jẹ́ ètò ọ̀tọ̀ọ̀tọ̀ pẹ̀lú àwọn ohun àfikún ọ̀tọ̀ọ̀tọ̀, olùyẹ̀wò tó gbà èyí tí kò tọ́ ń kọ́ ìyókù ìgbéléwọ̀n lórí àwòrán tí kò sí. Ṣe àwọn ìṣàyẹ̀wò mẹ́ta tó wà nísàlẹ̀ lẹ́sẹẹsẹ. Ọ̀kọ̀ọ̀kan yálà fìdí ààlà múlẹ̀ tàbí sọ fún ọ pé ìdáhùn àkọ́kọ́ jẹ́ nípa ohun àmúṣọrọ̀ mìíràn.

Dárúkọ àwọn ibi ìparí mẹ́ta kí o tó ṣe ìgbéléwọ̀n ohunkóhun

Àyẹ̀wò pípamọ́ ọ̀nà yìí nílò àwọn ohun mẹ́ta tí a dárúkọ: ẹnubodè oníbàárà, ibi AWS VPN tí ń parí IPsec, àti ibi ìparí ohun èlò tí ń gba packet inú. Kọ wọ́n pẹ̀lú àmì ìdánimọ̀ ohun àmúṣọrọ̀ wọn kí o tó ṣí ojú-ìwé console kan pàápàá, nítorí ohunkóhun tó tẹ̀lé ibi yìí jẹ́ ọ̀rọ̀ nípa ọ̀kan nínú àwọn mẹ́ta náà.

Ẹnubodè oníbàárà jẹ́ tìrẹ, ìṣètò rẹ̀ sì hàn sí ọ. Ibi AWS jẹ́ ohun àmúṣọrọ̀ tí a ń ṣàkóso, àṣìṣe sì ni láti gbà á: ìsopọ̀ VPN lè so mọ́ ẹnubodè àdáni ẹ̀rọ tàbí tààrà mọ́ ẹnubodè ìrékọjá, kò sì sí ọ̀kan tí ń túmọ̀ sí èkejì. Ibi ìparí kẹta ni èyí tí àwọn ènìyàn ń fò ó, òun nìkan sì ni ó ń dáhùn ìbéèrè gidi nípa dátà ohun èlò.

Ìṣàyẹ̀wò 1: ẹnubodè wo ni ó ń parí ọ̀nà náà níti gidi

Àwọn ètò méjèèjì ni a ń ṣètìlẹ́yìn fún, ìtọ́sọ́nà àgbékalẹ̀ Site-to-Site VPN sì ṣàpèjúwe wọn lẹ́gbẹ̀ẹ́, nítorí náà béèrè lọ́wọ́ API dípò àwòrán tí ó sábà jẹ́ ọdún kan. Ìbéèrè kìkà nìkan lórí ìsopọ̀ kan ń dá àwọn pápá ibi VPN padà:

aws ec2 describe-vpn-connections --region eu-west-1   --vpn-connection-ids vpn-0123456789abcdef0   --query 'VpnConnections[0].{VGW:VpnGatewayId,TGW:TransitGatewayId,CGW:CustomerGatewayId,Category:Category}'

Ohun ìyàtọ̀ ni TransitGatewayId, kì í ṣe VpnGatewayId. Ìsopọ̀ tí TransitGatewayId kò sí nínú ń parí ní ẹnubodè àdáni ẹ̀rọ olómìnira, nígbà tí ìsopọ̀ tí a ti ṣètò pápá yẹn ń parí ní àfikún VPN ti ẹnubodè ìrékọjá, VpnGatewayId sì lè ṣì kún ní irú ìgbà yẹn nítorí ó lè dárúkọ ẹnubodè àtìlẹ́yìn àfikún náà. Kọ́kọ́ ka pápá TGW, lẹ́yìn náà fìdí irú àfikún múlẹ̀ láti àkójọ àfikún, kì í ṣe láti orúkọ pápá, nítorí àfikún VPC lórí ẹnubodè ìrékọjá yẹn kì í ṣe àfikún VPN. Wíwá instance àfojúsùn nínú VPC tí a so pọ̀ kò sọ ohunkóhun nípa àfikún VPN wo ni ó gbé packet náà.

Nígbà tí o wà níbẹ̀, ṣàyẹ̀wò àwọn ọ̀nà pẹ̀lú. Ìsopọ̀ ń gbé ọ̀nà IPsec méjì fún àfikún, ìsopọ̀ tí ọ̀nà kejì rẹ̀ kò sì ga rí jẹ́ àwárí gidi fún wíwà, bí ó tilẹ̀ jẹ́ pé kò yí ohunkóhun padà ní ààlà pípamọ́:

aws ec2 describe-vpn-tunnels --region eu-west-1   --filters Name=vpn-connection-id,Values=vpn-0123456789abcdef0   --query 'VpnTunnels[].{Outside:OutsideIpAddress,State:State,Status:Status}'

Ìṣàyẹ̀wò 2: kí ni packet inú ṣì ń gbé

Nígbà tí IPsec bá parí, AWS ń gbé packet tí a yọ káàsì kúrò lọ nípasẹ̀ ọ̀nà tí ó bá a mu. Láti ibi yẹn lọ, ìrìnàjò jẹ́ ìrìnàjò VPC lasan, ààbò VPN sì ti parí. Eyi kì í ṣe àlàfo nínú iṣẹ́; eyi ni ìtumọ̀ ààlà, iṣẹ́ àkọsílẹ̀ sì ni láti sọ ọ́ ní kedere dípò jẹ́ kí "VPN ti pamọ́" dúró ní ipò "dátà ti pamọ́ láti ìbẹ̀rẹ̀ dé ìparí".

Nísinsìnyí ṣàyẹ̀wò ohun tí ó wà nínú. Bí packet inú bá jẹ́ protokọ́ọ̀lù ohun èlò ní ọ̀rọ̀ tí ó ṣe kedere, kò sí ohun tí ń fi àṣírí kún ní ìsàlẹ̀ títí ohun mìíràn yóò fi pamọ́ rẹ̀. Bí packet inú bá ti ń gbé ìpàdé TLS, yíyọ IPsec òde kò yí ohunkóhun padà fún ìpàdé yẹn: ó ń wà ní ààbò títí dé ibi ìparí rẹ̀ fúnra rẹ̀, ibikíbi tí ibi ìparí yẹn wà.

Àtúnṣe àṣejù tí ó wọ́pọ̀ ni láti parí ní èrò pé ohunkóhun tó wà lẹ́yìn ẹnubodè ti farahàn. Kì í rí bẹ́ẹ̀. Ìgbékalẹ̀ iṣẹ́, pípamọ́ ìpamọ́ àti TLS ohun èlò jẹ́ ọ̀nà ọ̀tọ̀ọ̀tọ̀ pẹ̀lú àwọn ipò ọ̀tọ̀ọ̀tọ̀, a sì gbọ́dọ̀ ṣe ìgbéléwọ̀n ọ̀kọ̀ọ̀kan nípa àwọn ipò tirẹ̀ dípò yíyọ láti ìrísí VPN. Àkọsílẹ̀ log ìṣàn tí ó fi ACCEPT hàn jẹ́rìí pé ìtọ́sọ́nà ṣiṣẹ́, kò sì sọ ohunkóhun nípa àṣírí, èyí sì ni àṣìṣe tí àkójọ yìí wà láti dènà.

Ìṣàyẹ̀wò 3: kí ni ó ń parí TLS lẹ́yìn ẹnubodè

Tẹ̀lé olùgbọ́, kì í ṣe àdírẹ́sì. Bí olùdọ́gba ẹrù tàbí proxy bá ń parí TLS, ìsopọ̀ tí oníbàárà rẹ dì mú ń parí níbẹ̀, proxy sì ṣí ìsopọ̀ kejì sí ẹ̀yìn tí ó lè jẹ́ ọ̀rọ̀ kedere tàbí TLS pẹ̀lú ẹ̀wọ̀n ìgbẹ́kẹ̀le mìíràn. Àdírẹ́sì IP àdáni àti ọ̀nà tí ó bá a mu kì í ṣe ẹ̀rí nípa ìsopọ̀ kejì yẹn.

Dán ibi ìparí tí ó ṣe pàtàkì fún ọ níti gidi wò láti inú VPC, pẹ̀lú orúkọ tí ohun èlò ń lò dípò IP tí o yanjú lẹ́ẹ̀kan:

openssl s_client -connect internal.example:443 -servername internal.example -verify_return_error

Tún èyí ṣe fún gbogbo ìgbésẹ̀ tí ìbéèrè ń kọjá. Bí ìdáhùn bá yàtọ̀ láàrín orúkọ tí ó kọjú sí oníbàárà àti orúkọ ẹ̀yìn, o ti rí gan-an apá tí VPN kò gbà rí, ìyẹn sì ni àwárí tí a gbọ́dọ̀ kọ sílẹ̀.

Kọ àbájáde sílẹ̀ gẹ́gẹ́ bí apá, kì í ṣe gẹ́gẹ́ bí ìdájọ́

Àbájáde àkójọ yìí jẹ́ tábìlì kékeré pẹ̀lú ìlà kan fún apá kọ̀ọ̀kan: ẹnubodè oníbàárà dé ibi AWS VPN, ẹnubodè dé ẹrù iṣẹ́, ẹrù iṣẹ́ dé ibi ìpamọ́ dátà, àti ìgbésẹ̀ proxy èyíkéyìí ní àárín wọn. Ìlà kọ̀ọ̀kan sọ ohun tí ń dáàbò bo òun àti ohun tí ààbò yẹn gbára lé. "Ti pamọ́" láìsí ọ̀nà àti láìsí ibi ìparí kì í ṣe ìlà.

Lẹ́yìn náà dáhùn ìbéèrè àkọ́kọ́ pẹ̀lú àwọn ọ̀rọ̀ kan náà tí a fi béèrè rẹ̀. Bí ìbéèrè bá ni pé dátà yóò wà ní àṣírí títí ẹrù iṣẹ́ yóò fi gbà á, VPN ń mú apá àkọ́kọ́ nìkan ṣẹ, àwọn ìlà tó kù sì nílò ìgbékalẹ̀ ohun èlò, TLS iṣẹ́ tàbí pípamọ́ ìpamọ́ tí a ṣètò àti tí a fìdí múlẹ̀ lọ́tọ̀.

Pa àmì ìdánimọ̀ ìsopọ̀, ipò àwọn ọ̀nà àti àwọn kókó-ọ̀rọ̀ ìwé-ẹ̀rí mọ́ nínú àkọsílẹ̀. Nígbà tí ẹnìkan bá padà sí àgbékalẹ̀ lẹ́yìn oṣù mẹ́fà, àwọn ohun mẹ́ta yẹn ń dáhùn ìbéèrè ààlà ní ìṣẹ́jú díẹ̀ dípò bíbẹ̀rẹ̀ aáwọ̀ lẹ́ẹ̀kan sí i láti inú àwòrán.