通过VPC将AWS AWS VPN转换为AWS IOT

Question

我的公司设备有一个专用的M2M GSM网络。 我希望将流量从我的设备发送到AWS IOT，但M2M提供商不允许从其SIM卡进行互联网访问，它只提供与专用网络的IPSec连接。

我现在遇到了将IPSec连接配置到AWS VPC的问题，我的SIM卡可以成功ping我的AWS VPC中的所有实例。但是我想要的是我的SIM卡访问AWS IOT。

我做了什么：

1. 我使用AWS third scenario配置了VPN。我有一个CIDR 192.168.0.0/24的公共网络和一个CIDR 192.168.1.0/24的专用网络。我的VPN为我的M2M网络提供了静态路由CIDR 10.1.128.0/14。
2. 然后我在公共网络中启动了EC2 Nat实例。
3. 我在我的VPC主路由表中添加了路由规则，以便将流量路由到0.0.0.0/0到我的NAT实例。
4. 我在我的VPC专用网络中启动了一个EC2实例并尝试从中访问互联网，这项工作我可以通过我的nat实例看到流量。所以我假设我的nat和路由配置得很好。

但是我仍然无法通过我的SIM卡访问互联网，流量甚至无法路由到我的NAT实例。根据{{​​3}}，VPN流量不会使用我的路由规则。

AWS VPN是否会丢弃未指定给VPC或VPN的CIDR的流量？有安全理由吗？ 如果是这样的话，是否有办法为VPN的流量自定义路由规则？或者是在EC2实例中使用自定义VPN的唯一解决方案？

感谢您的帮助。

Answer 1

  

我在我的VPC主路由表中添加了路由规则，以便将流量路由到0.0.0.0/0到我的NAT实例。

这是一个可以理解的错误观念，即＆＃34;主要＆＃34; VPC的路由表会影响来自VPC硬件VPN的流量。它没有。没有适用于此类流量的路由表，只有VPC子网的隐式目标。只能从这样的VPN到达分配的CIDR块。

  

AWS VPN是否会丢弃未指定给VPC或VPN的CIDR的流量？有安全理由吗？

是的，流量被丢弃了。

这可能不是出于安全原因......它只是服务的设计方式。托管VPN连接旨在访问基于实例的服务，并且不支持我们通常可归类为网关，边缘到边缘，对等或传输的流量。

如果您可以将边缘设备配置为使用Web代理，那么像squid这样的转发代理服务器可以处理设备的连接，因为设备和转发代理之间的IP路径是仅涉及设备和代理IP。

更简单的解决方案是使用基于实例的防火墙终止VPN，而不是内置的VPC VPN服务，因为防火墙实例可以允许流量通过自身发送，源伪装（NAT）自己的EIP背后的流量，这将是VPC基础设施轻松支持的东西。

当然，您可以自己构建基于实例的防火墙，但AWS Marketplace中还有一些产品可提供IPSec隧道终止和NAT功能。有些人有免费试用期，其中唯一的费用是实例的费用。