GRE və ESP AWS NAT şlüzündən niyə keçmir

Tunel işləmir, təhlükəsizlik qrupu artıq bütün trafikə icazə verir və nəticə belə çıxarılır ki, AWS VPN-i bloklayır. O, heç nəyi bloklamır. İdarə olunan NAT şlüzü sənədləşdirilmiş xarici protokollar dəstini ötürür və yerli GRE və ya yerli ESP bu dəstdə deyil, ona görə əlavə etdiyiniz heç bir qayda şlüzün onları daşımasına səbəb olmaz. İcazə qaydası ilə nəqliyyat imkanı iki fərqli şeydir və onlardan yalnız biri sizin dəyişə bildiyinizdir.

Qaydalar dəsti protokollar dəsti deyil

Təhlükəsizlik qrupu hansı trafikin instansiyadan çıxmasına icazə verildiyini müəyyən edir. NAT şlüzü nəyi tərcümə edib ötürə bildiyini müəyyən edir. İkinci məhdudiyyət tətbiq olunduqda, icazəli qayda insanların firewall problemi kimi səhv oxuduğu simptomu tam olaraq yaradır: paketlər instansiyadan çıxır, idarəetmə mübadiləsi hətta tamamlana bilər və qarşı tərəfə heç nə çatmır.

AWS-in NAT şlüzü protokol spesifikasiyası idarə olunan xidmət üçün TCP, UDP və ICMP-ni sadalayır. Bu, dəstəklənən bütün dəstdir. Başqa bir IP protokolu üçün icazə qaydası onu genişləndirə bilməz, çünki qayda şlüzün ötürmə yolu çatana qədər çox əvvəl qiymətləndirilir.

Bu fərq vacibdir, çünki iki uğursuzluq müştəri tərəfindən eyni görünür və tamamilə fərqli düzəlişləri var.

PPTP port testinin niyə yalan dediyini göstərir

PPTP heç nə sübut etməyən port yoxlamasının ən aydın köhnə nümunəsidir. O, 1723 portunda TCP idarəetmə bağlantısı açır və sonra tunel məlumatlarını IP protokolu 47 olan GRE üzərindən ötürür. Protokol 47 TCP portu 47 deyil və bu iki rəqəmin rəqəmləri paylaşmaqdan başqa bir-biri ilə əlaqəsi yoxdur.

1723-ə qoşulmanı yoxlayan və tamamlanmış əl sıxışması görən operator yolun işlədiyi qənaətinə gəlir. Sonra məlumat kanalı heç vaxt bir paket belə keçmir, çünki şlüzün təklif edəcəyi GRE dəstəyi yoxdur. Bu, köhnə protokolun tələblərinin şərhidir, illərdir köhnəlmiş PPTP-ni yerləşdirmək üçün məsləhət deyil.

Eyni məntiq idarəetmə kanalı TCP və ya UDP olub məlumat yolu belə olmayan hər hansı protokol üçün keçərlidir.

IPsec yalnız UDP kimi yaşayır

IPsec cavabın qəti yox deyil, şərti olduğu haldır. AWS NAT şlüzü vasitəsilə IPsec üçün dəstəklənən quruluş kimi NAT traversal-i sənədləşdirir. NAT-T razılaşdırıldıqda ESP UDP daxilində qablaşdırılır və şlüz protokol 50 əvəzinə adi UDP görür.

UDP 4500-ə icazə vermək son nöqtələrin NAT traversal istifadə etməsinə səbəb olmur. Bu, paketlərə yalnız artıq bu formada olduqda icazə verir. Müştərinin öz razılaşma çıxışından hansı qablaşdırmanın seçildiyini təsdiqləyin və qəbul edən tərəfdə qarşı tərəfin bunu qəbul etdiyini təsdiqləyin. Yerli ESP üçün konfiqurasiya edilmiş iki son nöqtə qaydalar dəsti nə deyirsə desin, yerli ESP göndərməyə davam edəcək.

TCP və ya UDP əsaslı VPN sənədləşdirilmiş nəqliyyat dəstinə uyğundur və yenə də marşrutlaşdırma, filtrləmə və ya autentifikasiya səbəblərindən uğursuz ola bilər. Dəstə uyğun olmaq zəruridir, kafi deyil.

Siyasəti genişləndirməzdən əvvəl yolu yoxlayın

İş yükü alt şəbəkəsinin faktiki marşrutunu və növbəti hoppunun kimliyini əvvəlcə yoxlayın. Birbaşa ictimai yol, NAT instansiyası, idarə olunan NAT şlüzü və transit şlüzü vasitəsilə şəxsi yol dörd fərqli dizayndır və onlardan yalnız biri burada təsvir olunan idarə olunan xidmətdir.

Sonra cəhd edilən son nöqtəni, ünvan ailəsini, xarici protokolu və protokolun portu varsa portu qeyd edin. Yalnız TCP və UDP-nin işlədiyini sübut edən uğurlu brauzer sorğusu əvəzinə müştərinin diaqnostikasından və şəbəkə sahibinin axın müşahidələrindən istifadə edin. Bundan sonra təhlükəsizlik qrupunu, alt şəbəkə ACL-ni, qonaq firewallunu və xidmət siyasətini axının hər iki istiqaməti üçün nəzərdən keçirin.

Xidmətin daşıya bilmədiyi nəqliyyatı kompensasiya etmək üçün bütün trafiki açmayın. Qayda dəyişikliyi bunu düzəltməyəcək və hadisədən sonra da qalacaq.

Nəqliyyat uyğun olmadıqda

Xarici protokol dəstəklənən dəstdən kənardırsa, həll arxitekturadır: yolun daşıya biləcəyi nəqliyyat seçin və ya çıxışı sizə lazım olanı daşıyan bir şeyə köçürün. OpenVPN UDP üzərindən, WireGuard UDP üzərindən və TLS əsaslı tunellər sənədləşdirilmiş dəstə uyğundur. Müştərinin idarə etdiyi NAT instansiyası müəyyən bir protokolun keçməsi lazım olduqda və onu idarə etməyin əməliyyat xərci məqbul olduqda seçimdir.

Daxil olan VPN serverinin yerləşdirilməsi ayrı cavabı olan ayrı bir problemdir. NAT şlüzü çıxış tərcüməsi təqdim edir və ümumi daxil olan port yönləndirməsi yoxdur, ona görə onun arxasındakı server öz şərtləri ilə dizayn edilmiş təsdiqlənmiş ictimai girişinə ehtiyac duyur.

İş qaydası: xarici protokolu adlandırın, növbəti hoppu təsdiqləyin, onu sənədləşdirilmiş dəstlə müqayisə edin, sonra arxitekturanı və ya nəqliyyatı dəyişin. Fərqli port nömrəsi GRE-ni TCP-yə çevirə bilməz və bir daha icazəli qayda tamamlanmış idarəetmə mübadiləsini işlək məlumat kanalına çevirə bilməz.