AWS NAT গেটওয়ে দিয়ে GRE ও ESP কেন ব্যর্থ হয়

টানেল ব্যর্থ হয়, সিকিউরিটি গ্রুপ ইতিমধ্যে সব ট্র্যাফিক অনুমোদন করে, আর সিদ্ধান্তে পৌঁছানো হয় যে AWS VPN ব্লক করছে। এটি কিছুই ব্লক করছে না। একটি ম্যানেজড NAT গেটওয়ে ডকুমেন্ট করা কিছু আউটার প্রোটোকল ফরওয়ার্ড করে, এবং নেটিভ GRE বা নেটিভ ESP সেখানে নেই, তাই আপনি যে নিয়মই যোগ করুন না কেন গেটওয়ে সেগুলো বহন করবে না। অনুমোদন নিয়ম আর ট্রান্সপোর্ট ক্ষমতা দুটি আলাদা জিনিস, এবং এদের মধ্যে কেবল একটি আপনার বদলানোর অধীনে।

নিয়মের সেট প্রোটোকলের সেট নয়

সিকিউরিটি গ্রুপ ঠিক করে কোন ট্র্যাফিক ইনস্ট্যান্স ছাড়তে পারবে। NAT গেটওয়ে ঠিক করে সে কী অনুবাদ ও ফরওয়ার্ড করতে পারে। দ্বিতীয় সীমা প্রযোজ্য হলে, একটি উদার নিয়ম ঠিক সেই উপসর্গ তৈরি করে যা মানুষ ফায়ারওয়াল সমস্যা হিসেবে ভুল পড়ে: প্যাকেট ইনস্ট্যান্স ছাড়ে, কন্ট্রোল বিনিময় এমনকি সম্পূর্ণ হতে পারে, আর পিয়ারে কিছুই পৌঁছায় না।

AWS-এর NAT গেটওয়ে প্রোটোকল স্পেসিফিকেশন ম্যানেজড সেবার জন্য TCP, UDP ও ICMP তালিকাভুক্ত করে। এটাই সম্পূর্ণ সমর্থিত সেট। অন্য IP প্রোটোকলের জন্য একটি অনুমোদন নিয়ম এটিকে বাড়াতে পারে না, কারণ নিয়মটি গেটওয়ের ফরওয়ার্ডিং পথে পৌঁছানোর অনেক আগেই মূল্যায়িত হয়।

এই পার্থক্যটি গুরুত্বপূর্ণ কারণ দুটি ব্যর্থতা ক্লায়েন্টের দিক থেকে একই রকম দেখায় এবং সম্পূর্ণ ভিন্ন সমাধান আছে।

PPTP দেখায় কেন পোর্ট পরীক্ষা মিথ্যা বলে

PPTP হলো এমন পোর্ট যাচাইয়ের সবচেয়ে স্পষ্ট পুরোনো উদাহরণ যা কিছুই প্রমাণ করে না। এটি 1723 পোর্টে একটি TCP কন্ট্রোল সংযোগ খোলে এবং তারপর টানেল ডেটা GRE-এর ওপর বহন করে, যা IP প্রোটোকল 47। প্রোটোকল 47 কোনো TCP পোর্ট 47 নয়, এবং এই দুটি সংখ্যার মধ্যে অঙ্ক ভাগ করা ছাড়া কোনো সম্পর্ক নেই।

যে অপারেটর 1723-এ সংযোগ পরীক্ষা করে সম্পূর্ণ হ্যান্ডশেক দেখেন, তিনি সিদ্ধান্তে আসেন যে পথটি কাজ করছে। তারপর ডেটা চ্যানেল কখনো একটিও প্যাকেট পার করে না, কারণ গেটওয়ের কাছে দেওয়ার মতো GRE সমর্থন নেই। এটি একটি পুরোনো প্রোটোকলের প্রয়োজনীয়তার ব্যাখ্যা, PPTP চালু করার পরামর্শ নয়, যা বহু বছর ধরে অপ্রচলিত।

একই যুক্তি যেকোনো প্রোটোকলের ক্ষেত্রে প্রযোজ্য যার কন্ট্রোল চ্যানেল TCP বা UDP কিন্তু ডেটা পথ তা নয়।

IPsec কেবল UDP হিসেবে টিকে থাকে

IPsec হলো সেই ক্ষেত্রে যেখানে উত্তর স্পষ্ট না নয়, শর্তসাপেক্ষ। AWS NAT গেটওয়ে দিয়ে IPsec-এর জন্য NAT ট্রাভার্সালকে সমর্থিত ব্যবস্থা হিসেবে ডকুমেন্ট করে। NAT-T নিয়ে আলোচনা হলে ESP UDP-এর ভেতরে এনক্যাপসুলেট হয় এবং গেটওয়ে প্রোটোকল 50-এর বদলে সাধারণ UDP দেখে।

UDP 4500 অনুমোদন করলে এন্ডপয়েন্টগুলো NAT ট্রাভার্সাল ব্যবহার করতে শুরু করে না। এটি কেবল তখনই প্যাকেট অনুমোদন করে যখন সেগুলো ইতিমধ্যে সেই আকারে আছে। ক্লায়েন্টের নিজস্ব আলোচনার আউটপুট থেকে নিশ্চিত করুন কোন এনক্যাপসুলেশন বেছে নেওয়া হয়েছে, এবং গ্রহণকারী পক্ষে নিশ্চিত করুন যে পিয়ার তা গ্রহণ করেছে। নেটিভ ESP-এর জন্য কনফিগার করা দুটি এন্ডপয়েন্ট নিয়মের সেট যা-ই বলুক, নেটিভ ESP পাঠাতেই থাকবে।

TCP বা UDP ভিত্তিক VPN ডকুমেন্ট করা ট্রান্সপোর্ট সেটে মানানসই এবং তবুও রাউটিং, ফিল্টারিং বা প্রমাণীকরণের কারণে ব্যর্থ হতে পারে। সেটে মানানসই হওয়া প্রয়োজনীয়, যথেষ্ট নয়।

নীতি প্রশস্ত করার আগে পথ যাচাই করুন

ওয়ার্কলোড সাবনেটের প্রকৃত রুট এবং এর পরবর্তী হপের পরিচয় প্রথমে যাচাই করুন। সরাসরি পাবলিক পথ, একটি NAT ইনস্ট্যান্স, একটি ম্যানেজড NAT গেটওয়ে এবং ট্রানজিট গেটওয়ে দিয়ে একটি প্রাইভেট পথ চারটি ভিন্ন ডিজাইন, এবং এর মধ্যে কেবল একটি এখানে বর্ণিত ম্যানেজড সেবা।

তারপর চেষ্টা করা এন্ডপয়েন্ট, অ্যাড্রেস ফ্যামিলি, আউটার প্রোটোকল এবং প্রোটোকলের পোর্ট থাকলে সেই পোর্ট লিখে রাখুন। সফল ব্রাউজার অনুরোধের বদলে ক্লায়েন্টের ডায়াগনস্টিকস ও নেটওয়ার্ক মালিকের ফ্লো পর্যবেক্ষণ ব্যবহার করুন, কারণ তা কেবল প্রমাণ করে TCP ও UDP কাজ করে। এরপর প্রবাহের উভয় দিকের জন্য সিকিউরিটি গ্রুপ, সাবনেট ACL, গেস্ট ফায়ারওয়াল ও সেবা নীতি পর্যালোচনা করুন।

সেবা যে ট্রান্সপোর্ট বহন করতে পারে না তার ক্ষতিপূরণে সব ট্র্যাফিক খুলবেন না। নিয়ম পরিবর্তন এটি ঠিক করবে না, এবং ঘটনার পরেও টিকে থাকবে।

যখন ট্রান্সপোর্ট মানানসই নয়

যদি আউটার প্রোটোকল সমর্থিত সেটের বাইরে হয়, সমাধান স্থাপত্যগত: এমন ট্রান্সপোর্ট বেছে নিন যা পথ বহন করতে পারে, অথবা ইগ্রেস এমন কিছুতে সরান যা আপনার প্রয়োজনীয়টি বহন করে। OpenVPN UDP-র ওপর, UDP-র ওপর WireGuard এবং TLS ভিত্তিক টানেল সবই ডকুমেন্ট করা সেটে মানানসই। গ্রাহক-পরিচালিত NAT ইনস্ট্যান্স হলো সেই বিকল্প যখন একটি নির্দিষ্ট প্রোটোকল পার হতে হবে এবং তা চালানোর পরিচালন ব্যয় গ্রহণযোগ্য।

ইনবাউন্ড VPN সার্ভার হোস্ট করা একটি আলাদা সমস্যা যার আলাদা উত্তর আছে। NAT গেটওয়ে আউটবাউন্ড অনুবাদ দেয় এবং সাধারণ ইনবাউন্ড পোর্ট ফরওয়ার্ডিং দেয় না, তাই এর পিছনের সার্ভারের নিজস্ব শর্তে ডিজাইন করা অনুমোদিত পাবলিক প্রবেশপথ দরকার।

কাজের ক্রম: আউটার প্রোটোকলের নাম দিন, পরবর্তী হপ নিশ্চিত করুন, ডকুমেন্ট করা সেটের সঙ্গে তুলনা করুন, তারপর স্থাপত্য বা ট্রান্সপোর্ট বদলান। ভিন্ন পোর্ট নম্বর GRE-কে TCP-তে পরিণত করতে পারে না, এবং আরও একটি উদার নিয়ম সম্পূর্ণ কন্ট্রোল বিনিময়কে কাজ করা ডেটা চ্যানেলে পরিণত করতে পারে না।