Miért vall kudarcot a GRE és az ESP egy AWS NAT-átjárón keresztül

Az alagút meghiúsul, a biztonsági csoport már minden forgalmat engedélyez, és a következtetés az, hogy az AWS blokkolja a VPN-t. Semmit nem blokkol. A felügyelt NAT-átjáró külső protokollok dokumentált halmazát továbbítja, és a natív GRE vagy a natív ESP nincs benne, ezért semmilyen hozzáadott szabály nem készteti az átjárót ezek szállítására. Az engedélyező szabály és a szállítási képesség két különböző dolog, és csak az egyikük van az Ön kezében.

A szabálykészlet nem a protokollkészlet

A biztonsági csoport eldönti, mely forgalom hagyhatja el a példányt. A NAT-átjáró eldönti, mit képes lefordítani és továbbítani. Amikor a második korlát érvényes, az engedékeny szabály pontosan azt a tünetet állítja elő, amelyet az emberek tévesen tűzfalproblémának olvasnak: a csomagok elhagyják a példányt, a vezérlőcsere akár be is fejeződhet, és semmi nem érkezik meg a partnerhez.

Az AWS NAT-átjáró protokoll-specifikációja a felügyelt szolgáltatáshoz a TCP-t, az UDP-t és az ICMP-t sorolja fel. Ez a teljes támogatott halmaz. Egy másik IP-protokollra vonatkozó engedélyező szabály nem bővítheti ki, mert a szabályt jóval azelőtt értékelik, hogy elérnék az átjáró továbbítási útvonalát.

A megkülönböztetés azért fontos, mert a két hiba az ügyfél oldaláról azonosnak látszik, és teljesen eltérő javításokat igényel.

A PPTP megmutatja, miért hazudik egy portteszt

A PPTP a legvilágosabb régi példa olyan portellenőrzésre, amely semmit nem bizonyít. TCP-vezérlőkapcsolatot nyit az 1723-as porton, majd az alagút adatait GRE felett szállítja, amely IP-protokoll 47. A 47-es protokoll nem TCP 47-es port, és a két számnak semmi köze egymáshoz azon túl, hogy számjegyeket osztanak.

Az az üzemeltető, aki teszteli az 1723-as elérést és befejezett kézfogást lát, arra következtet, hogy az útvonal működik. Ezután az adatcsatorna soha nem enged át egyetlen csomagot sem, mert az átjárónak nincs kínálható GRE-támogatása. Ez egy régi protokoll követelményeinek értelmezése, nem a PPTP bevezetésére vonatkozó tanács, amely évek óta elavult.

Ugyanez az érvelés érvényes minden olyan protokollra, amelynek vezérlőcsatornája TCP vagy UDP, miközben az adatútvonala nem az.

Az IPsec csak UDP-ként marad életben

Az IPsec az az eset, amikor a válasz feltételes, nem pedig egyértelmű nem. Az AWS a NAT-átjárón keresztüli IPsec számára támogatott megoldásként dokumentálja a NAT-átjárást. NAT-T egyeztetése esetén az ESP UDP-be ágyazódik, és az átjáró az 50-es protokoll helyett közönséges UDP-t lát.

Az UDP 4500 engedélyezése nem készteti a végpontokat NAT-átjárás használatára. Csak akkor engedi át a csomagokat, ha azok már ilyen formában vannak. Erősítse meg az ügyfél saját egyeztetési kimenetéből, melyik beágyazást választották, és erősítse meg a fogadó oldalon, hogy a partner elfogadta. A natív ESP-hez beállított két végpont továbbra is natív ESP-t küld, bármit mond a szabálykészlet.

A TCP- vagy UDP-alapú VPN illeszkedik a dokumentált szállítási halmazhoz, és mégis meghiúsulhat útválasztási, szűrési vagy hitelesítési okokból. A halmazhoz illeszkedés szükséges, de nem elégséges.

Ellenőrizze az útvonalat a házirend szélesítése előtt

Ellenőrizze a munkaterhelés alhálózatának tényleges útvonalát és a következő ugrás azonosságát először. A közvetlen nyilvános útvonal, a NAT-példány, a felügyelt NAT-átjáró és a tranzitátjárón keresztüli privát útvonal négy különböző kialakítás, és közülük csak egy az itt leírt felügyelt szolgáltatás.

Ezután rögzítse a megkísérelt végpontot, a címcsaládot, a külső protokollt és a portot, ahol a protokollnak van ilyenje. Az ügyfél diagnosztikáját és a hálózat tulajdonosának forgalommegfigyeléseit használja a sikeres böngészőkérés helyett, amely csak azt bizonyítja, hogy a TCP és az UDP működik. Ezután vizsgálja át a biztonsági csoportot, az alhálózati ACL-t, a vendég tűzfalát és a szolgáltatási házirendet a forgalom mindkét irányára.

Ne nyissa meg az összes forgalmat olyan szállítás kompenzálására, amelyet a szolgáltatás nem tud szállítani. A szabálymódosítás nem javítja meg, és túléli az incidenst.

Amikor a szállítás nem illeszkedik

Ha a külső protokoll a támogatott halmazon kívül esik, a javítás architekturális: válasszon olyan szállítást, amelyet az útvonal el tud vinni, vagy helyezze át a kimenő forgalmat valamire, ami a szükségeset szállítja. OpenVPN UDP felett, a WireGuard UDP felett és a TLS-alapú alagutak mind illeszkednek a dokumentált halmazhoz. Az ügyfél által felügyelt NAT-példány az a lehetőség, amikor egy adott protokollnak át kell jutnia, és a futtatás üzemeltetési költsége elfogadható.

A bejövő VPN-kiszolgáló hosztolása külön probléma külön válasszal. A NAT-átjáró kimenő fordítást nyújt, és nem biztosít általános bejövő porttovábbítást, ezért a mögötte lévő kiszolgálónak saját feltételei szerint tervezett jóváhagyott nyilvános belépésre van szüksége.

A munka sorrendje: nevezze meg a külső protokollt, erősítse meg a következő ugrást, hasonlítsa össze a dokumentált halmazzal, majd változtasson az architektúrán vagy a szállításon. Egy másik portszám nem teheti a GRE-t TCP-vé, és egy további engedékeny szabály nem teheti a befejezett vezérlőcserét működő adatcsatornává.