Γιατί το GRE και το ESP αποτυγχάνουν μέσω πύλης NAT του AWS

Η σήραγγα αποτυγχάνει, η ομάδα ασφαλείας επιτρέπει ήδη όλη την κυκλοφορία και το συμπέρασμα είναι ότι το AWS μπλοκάρει το VPN. Δεν μπλοκάρει τίποτα. Μια διαχειριζόμενη πύλη NAT προωθεί ένα τεκμηριωμένο σύνολο εξωτερικών πρωτοκόλλων και το εγγενές GRE ή το εγγενές ESP δεν περιλαμβάνονται σε αυτό, οπότε κανένας κανόνας που προσθέτετε δεν θα κάνει την πύλη να τα μεταφέρει. Ο κανόνας επιτρεπόμενης κυκλοφορίας και η δυνατότητα μεταφοράς είναι δύο διαφορετικά πράγματα και μόνο το ένα από αυτά μπορείτε να αλλάξετε.

Το σύνολο κανόνων δεν είναι το σύνολο πρωτοκόλλων

Μια ομάδα ασφαλείας αποφασίζει ποια κυκλοφορία επιτρέπεται να φύγει από το στιγμιότυπο. Η πύλη NAT αποφασίζει τι μπορεί να μεταφράσει και να προωθήσει. Όταν ισχύει το δεύτερο όριο, ένας επιτρεπτικός κανόνας παράγει ακριβώς το σύμπτωμα που οι άνθρωποι παρερμηνεύουν ως πρόβλημα τείχους προστασίας: τα πακέτα φεύγουν από το στιγμιότυπο, η ανταλλαγή ελέγχου μπορεί ακόμη και να ολοκληρωθεί και τίποτα δεν φτάνει στον ομότιμο.

Η προδιαγραφή πρωτοκόλλων της πύλης NAT της AWS απαριθμεί TCP, UDP και ICMP για τη διαχειριζόμενη υπηρεσία. Αυτό είναι το πλήρες υποστηριζόμενο σύνολο. Ένας κανόνας επιτρεπόμενης κυκλοφορίας για άλλο πρωτόκολλο IP δεν μπορεί να το επεκτείνει, επειδή ο κανόνας αξιολογείται πολύ πριν φτάσει στη διαδρομή προώθησης της πύλης.

Η διάκριση έχει σημασία επειδή οι δύο αποτυχίες φαίνονται ίδιες από την πλευρά του πελάτη και έχουν εντελώς διαφορετικές διορθώσεις.

Το PPTP δείχνει γιατί ένα τεστ θύρας ψεύδεται

Το PPTP είναι το σαφέστερο παλιό παράδειγμα ελέγχου θύρας που δεν αποδεικνύει τίποτα. Ανοίγει μια σύνδεση ελέγχου TCP στη θύρα 1723 και στη συνέχεια μεταφέρει τα δεδομένα της σήραγγας μέσω GRE, που είναι το πρωτόκολλο IP 47. Το πρωτόκολλο 47 δεν είναι η θύρα TCP 47 και οι δύο αριθμοί δεν έχουν καμία σχέση μεταξύ τους πέρα από την κοινή χρήση ψηφίων.

Ένας χειριστής που δοκιμάζει τη συνδεσιμότητα στη 1723 και βλέπει ολοκληρωμένη χειραψία συμπεραίνει ότι η διαδρομή λειτουργεί. Στη συνέχεια το κανάλι δεδομένων δεν περνά ποτέ ούτε ένα πακέτο, επειδή η πύλη δεν έχει υποστήριξη GRE να προσφέρει. Αυτή είναι μια ερμηνεία των απαιτήσεων ενός παλιού πρωτοκόλλου, όχι συμβουλή να αναπτύξετε PPTP, που έχει καταστεί παρωχημένο εδώ και χρόνια.

Η ίδια συλλογιστική ισχύει για κάθε πρωτόκολλο του οποίου το κανάλι ελέγχου είναι TCP ή UDP ενώ η διαδρομή δεδομένων του δεν είναι.

Το IPsec επιβιώνει μόνο ως UDP

Το IPsec είναι η περίπτωση όπου η απάντηση είναι υπό όρους και όχι ένα κατηγορηματικό όχι. Η AWS τεκμηριώνει το NAT traversal ως την υποστηριζόμενη διάταξη για IPsec μέσω πύλης NAT. Με διαπραγματευμένο NAT-T, το ESP ενθυλακώνεται μέσα σε UDP και η πύλη βλέπει συνηθισμένο UDP αντί για πρωτόκολλο 50.

Η άδεια για UDP 4500 δεν κάνει τα τελικά σημεία να χρησιμοποιούν NAT traversal. Επιτρέπει τα πακέτα μόνο αν έχουν ήδη αυτή τη μορφή. Επιβεβαιώστε από την ίδια την έξοδο διαπραγμάτευσης του πελάτη ποια ενθυλάκωση επιλέχθηκε και επιβεβαιώστε στην πλευρά λήψης ότι ο ομότιμος την αποδέχθηκε. Δύο τελικά σημεία ρυθμισμένα για εγγενές ESP θα συνεχίσουν να στέλνουν εγγενές ESP ό,τι κι αν λέει το σύνολο κανόνων.

Ένα VPN βασισμένο σε TCP ή UDP ταιριάζει στο τεκμηριωμένο σύνολο μεταφορών και μπορεί ακόμη να αποτύχει για λόγους δρομολόγησης, φιλτραρίσματος ή ταυτοποίησης. Το να ταιριάζει στο σύνολο είναι απαραίτητο, όχι επαρκές.

Ελέγξτε τη διαδρομή πριν διευρύνετε την πολιτική

Επαληθεύστε την πραγματική διαδρομή του υποδικτύου φόρτου εργασίας και την ταυτότητα του επόμενου άλματος πρώτα. Μια άμεση δημόσια διαδρομή, ένα στιγμιότυπο NAT, μια διαχειριζόμενη πύλη NAT και μια ιδιωτική διαδρομή μέσω πύλης διαμετακόμισης είναι τέσσερα διαφορετικά σχέδια και μόνο ένα από αυτά είναι η διαχειριζόμενη υπηρεσία που περιγράφεται εδώ.

Στη συνέχεια καταγράψτε το επιχειρούμενο τελικό σημείο, την οικογένεια διευθύνσεων, το εξωτερικό πρωτόκολλο και τη θύρα όπου το πρωτόκολλο έχει μία. Χρησιμοποιήστε τα διαγνωστικά του πελάτη και τις παρατηρήσεις ροής του ιδιοκτήτη του δικτύου αντί για ένα επιτυχές αίτημα προγράμματος περιήγησης, που αποδεικνύει μόνο ότι το TCP και το UDP λειτουργούν. Μετά από αυτό, εξετάστε την ομάδα ασφαλείας, το ACL του υποδικτύου, το τείχος προστασίας του επισκέπτη και την πολιτική της υπηρεσίας και για τις δύο κατευθύνσεις της ροής.

Μην ανοίξετε όλη την κυκλοφορία για να αντισταθμίσετε μια μεταφορά που η υπηρεσία δεν μπορεί να μεταφέρει. Η αλλαγή κανόνα δεν θα το διορθώσει και θα επιβιώσει του περιστατικού.

Όταν η μεταφορά δεν ταιριάζει

Αν το εξωτερικό πρωτόκολλο είναι εκτός του υποστηριζόμενου συνόλου, η διόρθωση είναι αρχιτεκτονική: επιλέξτε μια μεταφορά που η διαδρομή μπορεί να μεταφέρει ή μετακινήστε την έξοδο σε κάτι που μεταφέρει αυτή που χρειάζεστε. OpenVPN μέσω UDP, το WireGuard μέσω UDP και οι σήραγγες βασισμένες σε TLS ταιριάζουν όλα στο τεκμηριωμένο σύνολο. Ένα στιγμιότυπο NAT διαχειριζόμενο από τον πελάτη είναι η επιλογή όταν ένα συγκεκριμένο πρωτόκολλο πρέπει να περάσει και το λειτουργικό κόστος εκτέλεσής του είναι αποδεκτό.

Η φιλοξενία ενός εισερχόμενου διακομιστή VPN είναι ξεχωριστό πρόβλημα με ξεχωριστή απάντηση. Μια πύλη NAT παρέχει εξερχόμενη μετάφραση και καμία γενική προώθηση εισερχόμενων θυρών, οπότε ένας διακομιστής πίσω της χρειάζεται την εγκεκριμένη δημόσια είσοδό του σχεδιασμένη με δικούς της όρους.

Σειρά εργασίας: ονομάστε το εξωτερικό πρωτόκολλο, επιβεβαιώστε το επόμενο άλμα, συγκρίνετέ το με το τεκμηριωμένο σύνολο και μετά αλλάξτε αρχιτεκτονική ή μεταφορά. Ένας διαφορετικός αριθμός θύρας δεν μπορεί να μετατρέψει το GRE σε TCP και ένας ακόμη επιτρεπτικός κανόνας δεν μπορεί να μετατρέψει μια ολοκληρωμένη ανταλλαγή ελέγχου σε λειτουργικό κανάλι δεδομένων.