Pam mae GRE ac ESP yn methu drwy borth NAT AWS

Mae'r twnnel yn methu, mae'r grŵp diogelwch eisoes yn caniatáu'r holl draffig, a'r casgliad yw bod AWS yn blocio'r VPN. Nid yw'n blocio unrhyw beth. Mae porth NAT a reolir yn anfon set ddogfennol o brotocolau allanol, ac nid yw GRE brodorol nac ESP brodorol yn y rhestr honno, felly ni fydd unrhyw reol a ychwanegwch yn gwneud i'r borth eu cludo. Mae'r rheol caniatâd a'r gallu cludo yn ddau beth gwahanol, a dim ond un ohonynt sydd yn eich dwylo i'w newid.

Nid y set rheolau yw'r set brotocolau

Mae grŵp diogelwch yn penderfynu pa draffig a ganiateir i adael y cynllun. Mae'r borth NAT yn penderfynu beth y gall ei gyfieithu a'i anfon ymlaen. Pan fydd yr ail gyfyngiad yn berthnasol, mae rheol ganiatäol yn cynhyrchu'n union y symptom y mae pobl yn ei gamddarllen fel problem wal dân: mae pecynnau'n gadael y cynllun, gall y gyfnewid reoli hyd yn oed gwblhau, ac nid oes dim yn cyrraedd y cymar.

Mae manyleb protocol porth NAT AWS yn rhestru TCP, UDP ac ICMP ar gyfer y gwasanaeth a reolir. Dyna'r set gyfan a gefnogir. Ni all rheol caniatâd ar gyfer protocol IP arall ei hymestyn, oherwydd mae'r rheol yn cael ei gwerthuso ymhell cyn cyrraedd llwybr anfon y borth.

Mae'r gwahaniaeth yn bwysig oherwydd mae'r ddwy fethiant yn edrych yn union yr un fath o safbwynt y cleient ac mae ganddynt atebion hollol wahanol.

Mae PPTP yn dangos pam mae prawf porth yn dweud celwydd

PPTP yw'r enghraifft hen gliriaf o brawf porth nad yw'n profi dim. Mae'n agor cysylltiad rheoli TCP ar borth 1723 ac yna'n cludo data'r twnnel dros GRE, sef protocol IP 47. Nid yw protocol 47 yn borth TCP 47, ac nid oes cysylltiad rhwng y ddau rif heblaw eu bod yn rhannu digidau.

Mae gweithredwr sy'n profi cysylltedd i 1723 ac yn gweld cyfnewid cychwynnol wedi'i gwblhau yn dod i'r casgliad bod y llwybr yn gweithio. Yna nid yw'r sianel ddata byth yn pasio un pecyn, oherwydd nid oes gan y borth unrhyw gefnogaeth GRE i'w chynnig. Dehongliad o ofynion protocol hen yw hyn, nid cyngor i ddefnyddio PPTP, sydd wedi bod yn hen ffasiwn ers blynyddoedd.

Mae'r un rhesymu yn berthnasol i unrhyw brotocol y mae ei sianel reoli yn TCP neu UDP tra nad yw ei lwybr data felly.

Nid yw IPsec yn goroesi ond fel UDP

IPsec yw'r achos lle mae'r ateb yn amodol yn hytrach nag yn na pendant. Mae AWS yn dogfennu NAT traversal fel y trefniant a gefnogir ar gyfer IPsec drwy borth NAT. Gyda NAT-T wedi'i drafod, mae ESP yn cael ei amgáu o fewn UDP ac mae'r borth yn gweld UDP cyffredin yn hytrach na protocol 50.

Nid yw caniatáu UDP 4500 yn gwneud i bennau terfyn ddefnyddio NAT traversal. Dim ond caniatáu'r pecynnau y mae os ydynt eisoes wedi'u ffurfio felly. Cadarnhewch o allbwn trafodaeth y cleient ei hun pa amgáu a ddewiswyd, a chadarnhewch ar yr ochr dderbyn bod y cymar wedi'i dderbyn. Bydd dau ben terfyn wedi'u ffurfweddu ar gyfer ESP brodorol yn parhau i anfon ESP brodorol waeth beth mae'r set rheolau yn ei ddweud.

Mae VPN sy'n seiliedig ar TCP neu UDP yn ffitio'r set cludo ddogfennol a gall fethu o hyd am resymau llwybro, hidlo neu ddilysu. Mae ffitio'r set yn angenrheidiol, nid yn ddigonol.

Gwiriwch y llwybr cyn ehangu polisi

Gwiriwch lwybr gwirioneddol isrwyd y llwyth gwaith a humaniaeth ei naid nesaf gyntaf. Mae llwybr cyhoeddus uniongyrchol, enghraifft NAT, porth NAT a reolir a llwybr preifat drwy borth trosglwyddo yn bedwar dyluniad gwahanol, a dim ond un ohonynt yw'r gwasanaeth a reolir a ddisgrifir yma.

Yna cofnodwch y pen terfyn a geisiwyd, y teulu cyfeiriadau, y protocol allanol a'r porth lle mae gan y protocol un. Defnyddiwch ddiagnosteg y cleient ac arsylwadau llif perchennog y rhwydwaith yn hytrach na chais porwr llwyddiannus, sy'n profi dim ond bod TCP ac UDP yn gweithio. Wedi hynny, adolygwch y grŵp diogelwch, ACL yr isrwyd, wal dân y gwestai a pholisi'r gwasanaeth ar gyfer dwy gyfeiriad y llif.

Peidiwch ag agor yr holl draffig i wneud iawn am glud nad yw'r gwasanaeth yn gallu ei gludo. Ni fydd y newid rheol yn datrys hynny, a bydd yn goroesi'r digwyddiad.

Pan nad yw'r clud yn ffitio

Os yw'r protocol allanol y tu allan i'r set a gefnogir, mae'r ateb yn bensaernïol: dewiswch glud y gall y llwybr ei gludo, neu symudwch yr allbwn i rywbeth sy'n cludo'r un sydd ei angen arnoch. OpenVPN dros UDP, WireGuard dros UDP a thwneli sy'n seiliedig ar TLS i gyd yn ffitio'r set ddogfennol. Enghraifft NAT a reolir gan y cwsmer yw'r opsiwn pan fo'n rhaid i brotocol penodol basio a chost weithredol ei redeg yn dderbyniol.

Mae cynnal gweinydd VPN mewnol yn broblem ar wahân gydag ateb ar wahân. Mae porth NAT yn darparu cyfieithu allanol ac nid oes anfon porthladdoedd mewnol cyffredinol, felly mae angen i weinydd y tu ôl iddo gael ei fynedfa gyhoeddus gymeradwy wedi'i chynllunio ar ei thelerau ei hun.

Trefn gwaith: enwch y protocol allanol, cadarnhewch y naid nesaf, cymharwch ef â'r set ddogfennol, yna newidiwch bensaernïaeth neu glud. Ni all rhif porth gwahanol droi GRE yn TCP, ac ni all un rheol fwy caniatäol droi cyfnewid rheoli wedi'i gwblhau yn sianel ddata weithredol.