Wêrom GRE en ESP misse troch in AWS NAT-gateway

De tunnel mislearret, de feiligensgroep lit al alle ferkear ta, en de konklúzje is dat AWS de VPN blokkearret. Hy blokkeart neat. In behearde NAT-gateway stjoert in dokumintearre set bûtenste protokollen troch, en lânseigen GRE of lânseigen ESP sit dêr net by, dus gjin regel dy't jo tafoegje sil de gateway dy drage litte. De talittingsregel en it ferfiersfermogen binne twa ferskillende dingen, en mar ien fan beide is oan jo om te feroarjen.

De regelset is net de protokolset

In feiligensgroep beslút hokker ferkear it tastien is de ynstânsje te ferlitten. De NAT-gateway beslút wat it oersetten en trochstjoere kin. As de twadde grins jildt, jout in talittende regel krekt it symptoom dat minsken ferkeard lêze as in firewallprobleem: pakketten ferlitte de ynstânsje, de kontrôle-útwikseling kin sels foltôge wurde, en der komt neat by de partner oan.

De protokolspesifikaasje fan NAT-gateways fan AWS neamt TCP, UDP en ICMP foar de behearde tsjinst. Dat is de hiele stipe set. In talittingsregel foar in oar IP-protokol kin it net útwreidzje, om't de regel folle earder beoardiele wurdt as it trochstjoerpaad fan de gateway berikt wurdt.

It ûnderskied is wichtich om't de beide fouten fan de kliïnt út identyk lykje en hiel ferskillende oplossings hawwe.

PPTP lit sjen wêrom't in poarttest liicht

PPTP is it dúdlikste âlde foarbyld fan in poartkontrôle dy't neat bewissiget. It iepenet in TCP-kontrôlebining op poart 1723 en draacht dêrnei de tunnelgegevens oer GRE, dat IP-protokol 47 is. Protokol 47 is net TCP-poart 47, en de beide getallen hawwe neat mei elkoar te meitsjen útsein dat se sifers diele.

In operator dy't ferbining nei 1723 testet en in foltôge hânklaai sjocht, konkludearret dat it paad wurket. Dêrnei stjoert it gegevenskanaal nea ien pakket troch, om't de gateway gjin GRE-stipe te bieden hat. Dat is in ynterpretaasje fan 'e easken fan in âld protokol, net in advys om PPTP te brûken, dat al jierren ferâldere is.

Deselde redenearring jildt foar elk protokol wêrfan't it kontrôlekanaal TCP of UDP is, wylst it gegevenspaad dat net is.

IPsec oerlibbet allinnich as UDP

IPsec is it gefal wêryn't it antwurd betingst is ynstee fan in plat nee. AWS dokumintearret NAT-traversal as de stipe regeling foar IPsec troch in NAT-gateway. Mei NAT-T ûnderhannele wurdt ESP yn UDP ferpakt en sjocht de gateway gewoane UDP ynstee fan protokol 50.

UDP 4500 tastean makket net dat einpunten NAT-traversal brûke. It lit de pakketten allinnich ta as se al sa foarme binne. Befêstigje út 'e eigen ûnderhannelingsútfier fan 'e kliïnt hokker ferpakking keazen is, en befêstigje oan 'e ûntfangende kant dat de partner it akseptearre hat. Twa einpunten ynsteld foar lânseigen ESP sille lânseigen ESP bliuwe stjoeren, wat de regelset ek seit.

In VPN op TCP- of UDP-basis past yn 'e dokumintearre ferfiersset en kin dochs misse troch redenen fan routing, filtering of autentikaasje. Yn 'e set passe is needsaaklik, net genôch.

Kontrolearje it paad foar't jo it belied ferbreedzje

Kontrolearje de werklike rûte fan it workload-subnet en de identiteit fan syn folgjende hop earst. In direkt iepenbier paad, in NAT-ynstânsje, in behearde NAT-gateway en in priveepaad fia in transit-gateway binne fjouwer ferskillende ûntwerpen, en mar ien fan dy is de behearde tsjinst dy't hjir beskreaun wurdt.

Registrearje dan it besochte einpunt, de adresfamylje, it bûtenste protokol en de poarte wêr't it protokol ien hat. Brûk de diagnostyk fan 'e kliïnt en de streamwaarnimmings fan 'e netwurkeigner ynstee fan in slagge browserfersyk, dat allinnich bewissiget dat TCP en UDP wurkje. Dêrnei kontrolearje jo de feiligensgroep, de ACL fan it subnet, de firewall fan 'e gast en it tsjinstbelied foar beide rjochtingen fan 'e stream.

Iepenje net alle ferkear om in ferfier te kompensearjen dat de tsjinst net drage kin. De regelwiziging sil it net reparearje, en it sil it ynsidint oerlibje.

As it ferfier net past

As it bûtenste protokol bûten de stipe set is, is de oplossing arsjitektonysk: kies in ferfier dat it paad drage kin, of ferpleats de útgong nei iets dat drage kin wat jo nedich hawwe. OpenVPN oer UDP, WireGuard oer UDP en TLS-basearre tunnels passe allegear yn 'e dokumintearre set. In NAT-ynstânsje beheard troch de klant is de opsje as in spesifyk protokol passe moat en de operasjonele kosten fan it draaien derfan akseptabel binne.

It hosten fan in ynkommende VPN-tsjinner is in apart probleem mei in apart antwurd. In NAT-gateway biedt útgeande oersetting en gjin algemiene trochstjoering fan ynkommende poarten, dus in tsjinner dêrefter hat syn goedkarde iepenbiere yngong nedich, ûntwurpen op syn eigen betingsten.

Wurkfolchoarder: neam it bûtenste protokol, befêstigje de folgjende hop, fergelykje it mei de dokumintearre set, feroarje dan arsjitektuer of ferfier. In oar poartnûmer kin GRE net yn TCP feroarje, en noch in talittende regel kin in foltôge kontrôle-útwikseling net yn in wurkjend gegevenskanaal feroarje.