Hvers vegna GRE og ESP mistakast í gegnum AWS NAT-gátt

Tunnillinn mistekst, öryggishópurinn leyfir þegar alla umferð og niðurstaðan er sú að AWS lokar VPN-inu. Hún lokar engu. Stýrð NAT-gátt sendir áfram skjalfesta mengi ytri samskiptaregla og innfædd GRE eða innfædd ESP eru ekki þar á meðal, svo engin regla sem þú bætir við fær gáttina til að bera þau. Leyfisreglan og burðargetan eru tveir ólíkir hlutir og aðeins er einn þeirra á þínum valdi að breyta.

Reglumengið er ekki samskiptareglumengið

Öryggishópur ákveður hvaða umferð er leyfð að yfirgefa tilvikið. NAT-gáttin ákveður hvað hún getur þýtt og sent áfram. Þegar seinni takmörkunin á við framkallar leyfisregla nákvæmlega þau einkenni sem fólk les rangt sem eldveggsvandamál: pakkar yfirgefa tilvikið, stjórnskiptin geta jafnvel klárast og ekkert berst til jafningjans.

AWS samskiptareglulýsing NAT-gáttar telur upp TCP, UDP og ICMP fyrir stýrðu þjónustuna. Það er allt studda mengið. Leyfisregla fyrir aðra IP-samskiptareglu getur ekki víkkað hana, því reglan er metin löngu áður en komið er að framsendingarleið gáttarinnar.

Greiningin skiptir máli því bæði mistökin líta eins út frá sjónarhóli biðlarans og hafa algjörlega ólíkar lagfæringar.

PPTP sýnir hvers vegna portpróf lýgur

PPTP er skýrasta gamla dæmið um portathugun sem sannar ekkert. Hún opnar TCP-stjórntengingu á porti 1723 og ber síðan tunnilgögnin yfir GRE, sem er IP-samskiptaregla 47. Samskiptaregla 47 er ekki TCP-port 47 og tölurnar tvær hafa ekkert með hvora aðra að gera að öðru leyti en að deila tölustöfum.

Rekstraraðili sem prófar tengingu við 1723 og sér klárað handaband ályktar að leiðin virki. Síðan fer gagnarásin aldrei yfir eitt einasta pakka, því gáttin hefur enga GRE-stuðning að bjóða. Þetta er túlkun á kröfum gamallar samskiptareglu, ekki ráð að innleiða PPTP, sem hefur verið úrelt í mörg ár.

Sama röksemd á við um hverja samskiptareglu sem hefur TCP eða UDP í stjórnrás en ekki í gagnaleið.

IPsec lifir aðeins sem UDP

IPsec er tilvikið þar sem svarið er skilyrt frekar en skýrt nei. AWS skjalfestir NAT-yfirferð sem studda fyrirkomulagið fyrir IPsec í gegnum NAT-gátt. Þegar NAT-T hefur verið samið er ESP pakkað inn í UDP og gáttin sér venjulegt UDP í stað samskiptareglu 50.

Að leyfa UDP 4500 fær endapunktana ekki til að nota NAT-yfirferð. Það leyfir pakkana aðeins ef þeir eru þegar í þeirri mynd. Staðfestu út frá eigin samningaúttaki biðlarans hvaða innpökkun var valin og staðfestu á móttökuhlið að jafninginn hafi samþykkt hana. Tveir endapunktar stilltir fyrir innfæddan ESP halda áfram að senda innfæddan ESP, hvað sem reglumengið segir.

VPN byggt á TCP eða UDP passar í skjalfesta burðarmengið og getur samt mistekist vegna leiðar, síunar eða auðkenningar. Að passa í mengið er nauðsynlegt, ekki nægjanlegt.

Athugaðu leiðina áður en stefnan er víkkuð

Staðfestu raunverulega leið vinnuálagsundirnetsins og auðkenni næsta hopps þess fyrst. Bein opinber leið, NAT-tilvik, stýrð NAT-gátt og einkaleið í gegnum flutningsgátt eru fjórar ólíkar hannanir og aðeins ein þeirra er stýrða þjónustan sem lýst er hér.

Skráðu síðan reyndu endapunktinn, vistfangafjölskylduna, ytri samskiptaregluna og portið þar sem samskiptareglan hefur eitt. Notaðu greiningu biðlarans og flæðisathuganir neteigandans í stað árangursríkrar beiðni vafra, sem sannar aðeins að TCP og UDP virki. Eftir það skaltu fara yfir öryggishópinn, ACL undirnetsins, eldvegg gestsins og þjónustustefnuna fyrir báðar áttir flæðisins.

Opnaðu ekki alla umferð til að vega upp á móti burði sem þjónustan getur ekki borið. Reglubreytingin lagar það ekki og hún lifir atvikinu.

Þegar burðurinn passar ekki

Ef ytri samskiptareglan er utan studda mengisins er lagfæringin byggingarleg: veldu burð sem leiðin getur borið, eða færðu útstreymið yfir á eitthvað sem ber þann sem þú þarfnast. OpenVPN yfir UDP, WireGuard yfir UDP og TLS-byggðir tunlar passa allir í skjalfesta mengið. NAT-tilvik stýrt af viðskiptavininum er valkosturinn þegar tiltekin samskiptaregla verður að komast í gegn og rekstrarkostnaður við að keyra það er ásættanlegur.

Hýsing á innkominni VPN-þjónustu er sérstakt vandamál með sérstakt svar. NAT-gátt veitir útleiðarþýðingu og enga almenna framsendingu innkomandi porta, svo þjónn fyrir aftan hana þarf samþykktan opinberan inngang sinn hannaðan á eigin forsendum.

Vinnuregla: nefndu ytri samskiptaregluna, staðfestu næsta hopp, berðu hana saman við skjalfesta mengið og breyttu síðan byggingu eða burði. Önnur portnúmer geta ekki breytt GRE í TCP og ein leyfisregla til viðbótar geta ekki breytt kláruðum stjórnskiptum í vinnandi gagnarás.