Cén fáth a dteipeann ar GRE agus ESP trí gheata NAT AWS

Teipeann an tollán, ceadaíonn an grúpa slándála gach trácht cheana féin, agus is é an tátal go bhfuil AWS ag blocáil an VPN. Níl sé ag blocáil aon rud. Seolann geata NAT bainistithe sraith dhoiciméadaithe de phrótacail sheachtracha, agus níl GRE dúchasach ná ESP dúchasach inti, mar sin ní chuirfidh aon riail a chuireann tú leis iallach ar an ngeata iad a iompar. Is dhá rud éagsúla iad an riail cheada agus an cumas iompair, agus níl ach ceann amháin acu faoi do smacht chun a athrú.

Ní hé an tsraith rialacha an tsraith prótacal

Cinneann grúpa slándála cén trácht a cheadaítear chun an ásc a fhágáil. Cinneann an geata NAT cad is féidir leis a aistriú agus a sheoladh ar aghaidh. Nuair a bhíonn an dara teorainn i bhfeidhm, táirgeann riail cheadúnaithe go díreach an siomptóm a léann daoine go mícheart mar fhadhb balla dóiteáin: fágann paicéid an ásc, d'fhéadfadh an malartú rialaithe fiú críochnú, agus ní shroicheann aon rud an piara.

Liostaíonn sonraíocht phrótacal an gheata NAT AWS TCP, UDP agus ICMP don tseirbhís bhainistithe. Sin an tsraith iomlán a thacaítear léi. Ní féidir le riail cheada do phrótacal IP eile í a leathnú, toisc go ndéantar an riail a mheas i bhfad sula sroichtear cosán seolta an gheata.

Tá tábhacht leis an idirdhealú toisc go bhfuil cuma chomhionann ar an dá theip ó thaobh an chliaint de agus go bhfuil ceartúcháin iomlán éagsúla acu.

Léiríonn PPTP cén fáth a ndeir tástáil phoirt bréag

Is é PPTP an sampla sean is soiléire de sheiceáil phoirt nach gcruthaíonn faic. Osclaíonn sé nasc rialaithe TCP ar phort 1723 agus ansin iompraíonn sé sonraí an tolláin thar GRE, arb é prótacal IP 47 é. Ní hé prótacal 47 port TCP 47, agus níl aon bhaint ag an dá uimhir le chéile seachas digití a roinnt.

Má thástáileann oibreoir nascacht chuig 1723 agus má fheiceann sé crúbadh críochnaithe, tagann sé ar an tátal go n-oibríonn an cosán. Ansin ní théann an cainéal sonraí riamh trí aon phaicéad amháin, toisc nach bhfuil aon tacaíocht GRE ag an ngeata le tairiscint. Is léirmhíniú é sin ar riachtanais phrótacail shean, ní comhairle chun PPTP a imscaradh, atá as feidhm le blianta.

Tá an réasúnaíocht chéanna infheidhme maidir le haon phrótacal a bhfuil a chainéal rialaithe TCP nó UDP agus nach bhfuil a chosán sonraí amhlaidh.

Ní mhaireann IPsec ach mar UDP

Is é IPsec an cás ina bhfuil an freagra coinníollach seachas neamh dhíreach. Déanann AWS doiciméadú ar thrasnú NAT mar an socrú a thacaítear leis do IPsec trí gheata NAT. Le NAT-T idirbheartaithe, déantar ESP a ionchapsú laistigh de UDP agus feiceann an geata UDP rialta seachas prótacal 50.

Ní dhéanann ceadú UDP 4500 iallach ar chríochphointí trasnú NAT a úsáid. Ní cheadaíonn sé na paicéid ach amháin má tá siad múnlaithe mar sin cheana féin. Deimhnigh ó aschur idirbheartaíochta an chliaint féin cén ionchapsú a roghnaíodh, agus deimhnigh ar an taobh glactha gur ghlac an piara leis. Leanfaidh dhá chríochphointe atá cumraithe le haghaidh ESP dúchasach ag seoladh ESP dúchasach is cuma cad a deir an tsraith rialacha.

Oireann VPN bunaithe ar TCP nó UDP don tsraith iompair dhoiciméadaithe agus féadann sé teip fós ar chúiseanna ródaithe, scagtha nó fíordheimhithe. Tá oiriúnú don tsraith riachtanach, ní leor.

Seiceáil an cosán sula leathnaítear an beartas

Fíoraigh fíorróid fhoshrraith an ualaigh agus céannacht a chéad léim eile ar dtús. Is ceithre dhearadh éagsúla iad cosán poiblí díreach, ásc NAT, geata NAT bainistithe agus cosán príobháideach trí gheata idirthurais, agus níl ach ceann amháin acu mar an tseirbhís bhainistithe a thuairiscítear anseo.

Ansin taifead an chríochphointe a triaileadh, an teaghlach seoltaí, an prótacal seachtrach agus an port ina bhfuil port ag an bprótacal. Úsáid diagnóisic an chliaint agus breathnuithe sreafa úinéir an líonra seachas iarratas brabhsálaí rathúil, nach gcruthaíonn ach go n-oibríonn TCP agus UDP. Tar éis sin, déan athbhreithniú ar an ngrúpa slándála, ACL an fhoshrraith, balla dóiteáin an aoi agus beartas na seirbhíse araon i dtreo an tsreafa.

Ná hoscail an trácht go léir chun iompar a chúiteamh nach féidir leis an tseirbhís a iompar. Ní dheiseoidh an t-athrú rialach sin, agus mairfidh sé níos faide ná an teagmhas.

Nuair nach n-oireann an t-iompar

Má tá an prótacal seachtrach lasmuigh den tsraith a thacaítear leis, tá an ceartú ailtireachta: roghnaigh iompar is féidir leis an gcosán a iompar, nó bog an t-easiompú go rud a iompraíonn an ceann atá de dhíth ort. OpenVPN thar UDP, WireGuard thar UDP agus tolláin bunaithe ar TLS oireann siad go léir don tsraith dhoiciméadaithe. Is é ásc NAT arna bainistiú ag an gcustaiméir an rogha nuair a chaithfidh prótacal ar leith dul tríd agus nuair a bhíonn costas oibriúcháin a reáchtála inghlactha.

Is fadhb ar leith é freastalaí VPN isteach a óstáil le freagra ar leith. Soláthraíonn geata NAT aistriú amach agus ní sholáthraíonn sé aon aistriú port isteach ginearálta, mar sin teastaíonn a iontráil phoiblí cheadaithe ón bhfreastalaí taobh thiar de, deartha ar a théarmaí féin.

Ord oibre: ainmnigh an prótacal seachtrach, deimhnigh an chéad léim eile, cuir i gcomparáid leis an tsraith dhoiciméadaithe é, ansin athraigh an ailtireacht nó an t-iompar. Ní féidir le huimhir phoirt dhifriúil GRE a iompú ina TCP, agus ní féidir le riail cheada amháin eile malartú rialaithe críochnaithe a iompú ina chainéal sonraí feidhmiúil.