Me ya sa GRE da ESP ke gazawa ta hanyar NAT gateway na AWS

Tunel ɗin yana gazawa, rukunin tsaro ya riga ya ba da izinin duk zirga-zirga, kuma an yanke shawarar cewa AWS yana toshe VPN ɗin. Ba ya toshe komai. NAT gateway mai sarrafawa yana tura jerin ƙayyadaddun ka'idojin waje, kuma GRE na asali ko ESP na asali ba sa cikinsa, don haka babu wata ka'idar da ka ƙara da za ta sa gateway ɗin ɗaukar su. Ka'idar izini da ikon jigilar abu abu biyu ne daban-daban, kuma ɗaya ne kawai daga cikinsu ke hannunka don canzawa.

Rukunin ka'idoji ba rukunin ka'idojin sadarwa ba ne

Rukunin tsaro yana yanke shawarar wane zirga-zirga aka ba da izinin barin instans ɗin. NAT gateway yana yanke shawarar abin da zai iya fassarawa da turawa. Lokacin da iyaka ta biyu ta shafi, ka'idar izini mara tsauri tana haifar da daidai alamar da mutane ke kuskuren karantawa a matsayin matsalar firewall: fakiti suna barin instans ɗin, musayar sarrafawa na iya ma kammalawa, kuma babu abin da ya isa wurin abokin haɗin.

Ƙayyadaddun ka'idodin NAT gateway na AWS ya lissafa TCP, UDP da ICMP don sabis ɗin da ake sarrafawa. Wannan shi ne dukan rukunin da ake tallafawa. Ka'idar izini don wata ka'idar IP ba za ta iya faɗaɗa shi ba, domin ana kimanta ka'idar tun da daɗewa kafin a isa hanyar turawa ta gateway.

Bambancin yana da mahimmanci domin gazawar biyu suna kama da juna daga bangaren abokin ciniki kuma suna da gyare-gyare daban-daban.

PPTP yana nuna me ya sa gwajin tashar jiragen ruwa ke yin ƙarya

PPTP shine mafi bayyanan tsohon misali na duba tashar jiragen ruwa da ba ya tabbatar da komai. Yana buɗe haɗin sarrafawa na TCP a tashar 1723 sannan yana ɗaukar bayanan tunel akan GRE, wanda shi ne ka'idar IP 47. Ka'idar 47 ba tashar TCP 47 ba ce, kuma lambobin biyu ba su da wata alaƙa da juna sai raba lambobi.

Ma'aikacin da ya gwada haɗi zuwa 1723 kuma ya ga an kammala musayar hannu yana yanke shawarar cewa hanyar tana aiki. Sannan tashar bayanai ba ta taɓa wucewa ko ɗaya fakiti ba, domin gateway ɗin ba shi da tallafin GRE da zai bayar. Wannan fassarar buƙatun tsohuwar ka'ida ce, ba shawara ba ce a tura PPTP, wanda ya tsufa shekaru da yawa.

Irin wannan tunani ya shafi kowace ka'ida wadda tashar sarrafawa ta kasance TCP ko UDP yayin da hanyar bayananta ba haka ba.

IPsec yana rayuwa ne kawai a matsayin UDP

IPsec shine yanayin da amsar ta kasance da sharadi maimakon a'a kai tsaye. AWS yana rubuta NAT traversal a matsayin tsarin da ake tallafawa don IPsec ta hanyar NAT gateway. Da NAT-T da aka tattauna, ana lulluɓe ESP cikin UDP kuma gateway ɗin yana ganin UDP na yau da kullum maimakon ka'idar 50.

Ba da izinin UDP 4500 ba ya sa ƙarshen haɗin su yi amfani da NAT traversal. Yana ba da izinin fakiti ne kawai idan an riga an yi su da wannan siffa. Tabbatar daga fitar da tattaunawar abokin ciniki ɗin kansa wace lulluɓe aka zaɓa, kuma tabbatar a bangaren karɓa cewa abokin haɗin ya yarda da ita. Ƙarshen haɗi biyu da aka saita don ESP na asali za su ci gaba da aika ESP na asali ko da menene rukunin ka'idoji ya ce.

VPN da ya dogara da TCP ko UDP ya dace da rukunin jigilar da aka rubuta kuma yana iya gazawa saboda dalilan tafiyar da hanya, tacewa ko tabbatarwa. Dacewa da rukunin wajibi ne, ba isa ba.

Duba hanyar kafin faɗaɗa manufofin

Tabbatar da ainihin hanyar subnet ɗin aikin da asalin matakin da ya biyo baya da farko. Hanya kai tsaye ta jama'a, instans NAT, NAT gateway mai sarrafawa da hanyar sirri ta hanyar transit gateway ƙira huɗu ne daban-daban, kuma ɗaya kawai daga cikinsu shine sabis ɗin da ake sarrafawa da aka bayyana a nan.

Sannan rubuta ƙarshen haɗin da aka gwada, dangin adireshi, ka'idar waje da tashar jiragen ruwa inda ka'idar ke da ita. Yi amfani da binciken abokin ciniki da lura da kwararar mai hanyar sadarwa maimakon buƙatar burauza mai nasara, wadda ke tabbatar da cewa TCP da UDP suna aiki kawai. Bayan haka, sake duba rukunin tsaro, ACL ɗin subnet, firewall ɗin baƙo da manufofin sabis don duka kwatance biyu na kwarara.

Kada ka buɗe duk zirga-zirga don rama jigilar da sabis ɗin ba zai iya ɗauka ba. Canjin ka'idar ba zai gyara shi ba, kuma zai tsira daga lamarin.

Lokacin da jigilar ba ta dace ba

Idan ka'idar waje tana wajen rukunin da ake tallafawa, gyaran na gine-gine ne: zaɓi jigilar da hanyar za ta iya ɗauka, ko koma da fitarwa zuwa wani abu da ke ɗaukar abin da kuke buƙata. OpenVPN akan UDP, WireGuard akan UDP da tunel ɗin da suka dogara da TLS duk sun dace da rukunin da aka rubuta. Instans NAT da abokin ciniki ke sarrafawa shine zaɓi lokacin da takamaiman ka'ida dole ta wuce kuma kuɗin aiki na tafiyar da ita ya zama abin karɓa.

Karɓar sabar VPN mai shigowa matsala ce daban da amsa daban. NAT gateway yana bayar da fassarar fita kuma ba ya bayar da tura tashar jiragen ruwa mai shigowa gaba ɗaya, don haka sabar da ke bayansa tana buƙatar amintacciyar hanyar shigarta ta jama'a da aka tsara bisa nata sharuɗɗa.

Tsarin aiki: ambaci ka'idar waje, tabbatar da matakin da ya biyo baya, kwatanta shi da rukunin da aka rubuta, sannan canza gine-gine ko jigilar. Wata lambar tashar dabam ba za ta iya juya GRE zuwa TCP ba, kuma wata ka'idar izini ba za ta iya juya kammalalliyar musayar sarrafawa zuwa tashar bayanai mai aiki ba.