Неге GRE мен ESP AWS NAT-шлюзінен өтпейді

Туннель істемейді, қауіпсіздік тобы бүкіл трафикке рұқсат беріп қойған, ал қорытынды AWS VPN-ді блоктайды деп шығады. Ол ештеңені блоктамайды. Басқарылатын NAT-шлюз сыртқы протоколдардың құжатталған жиынтығын жібереді, ал жергілікті GRE немесе жергілікті ESP оған кірмейді, сондықтан қосқан ешбір ережеңіз шлюзді оларды тасымалдауға мәжбүрлемейді. Рұқсат ережесі мен тасымалдау мүмкіндігі екі бөлек нәрсе, және олардың тек біреуі ғана сіздің өзгертуіңізде.

Ережелер жиынтығы протоколдар жиынтығы емес

Қауіпсіздік тобы қандай трафикке данадан шығуға рұқсат екенін шешеді. NAT-шлюз нені аударып, жібере алатынын шешеді. Екінші шектеу қолданылғанда, рұқсатшыл ереже адамдар қате түсінетін симптомды дәл шығарады: пакеттер данадан шығады, басқару алмасуы тіпті аяқталуы мүмкін, ал серіктеске ештеңе жетпейді.

AWS NAT-шлюз протоколының спецификациясы басқарылатын қызмет үшін TCP, UDP және ICMP тізімін береді. Бұл толық қолдау көрсетілетін жиынтық. Басқа IP протоколы үшін рұқсат ережесі оны кеңейте алмайды, өйткені ереже шлюздің жіберу жолына жетпей тұрып бағаланады.

Бұл айырмашылық маңызды, өйткені екі сәтсіздік клиент жағынан бірдей көрінеді және мүлдем басқа түзетулері бар.

PPTP порт тестінің неге өтірік айтатынын көрсетеді

PPTP — ештеңені дәлелдемейтін порт тексеруінің ең айқын ескі мысалы. Ол 1723 портында TCP басқару қосылысын ашады, содан кейін туннель деректерін GRE арқылы тасымалдайды, ол IP протоколы 47. 47 протоколы TCP порты 47 емес, және бұл екі санның бір-біріне қатысы тек цифрларды бөлісу.

1723-ке қосылымды тексеріп, аяқталған қол алысуды көрген оператор жол жұмыс істейді деп қорытынды жасайды. Содан кейін деректер арнасы бірде-бір пакет өткізбейді, өйткені шлюзде ұсынатын GRE қолдауы жоқ. Бұл ескі протокол талаптарының түсіндірмесі, жылдар бойы ескірген PPTP-ні енгізуге кеңес емес.

Дәл сол пайымдау басқару арнасы TCP немесе UDP болып, деректер жолы ондай болмаған кез келген протоколға қатысты.

IPsec тек UDP ретінде өмір сүреді

IPsec — жауабы қатаң жоқ емес, шартты болатын жағдай. AWS NAT-шлюз арқылы IPsec үшін NAT-дан өтуді қолдау көрсетілетін реттеу ретінде құжаттайды. NAT-T келісілгенде ESP UDP ішіне оралады және шлюз 50 протоколының орнына қарапайым UDP көреді.

UDP 4500-ге рұқсат беру шеткі нүктелерді NAT-дан өтуді қолдануға мәжбүрлемейді. Ол пакеттерді тек олар бұрыннан сол пішінде болса ғана жібереді. Клиенттің өз келіссөз шығысынан қай инкапсуляция таңдалғанын растаңыз және қабылдаушы жақта серіктестің оны қабылдағанын растаңыз. Жергілікті ESP үшін конфигурацияланған екі шеткі нүкте ережелер жиынтығы не десе де жергілікті ESP жіберуді жалғастырады.

TCP немесе UDP негізіндегі VPN құжатталған тасымалдау жиынтығына сай келеді және бәрібір маршруттау, сүзу немесе аутентификация себептерінен істемеуі мүмкін. Жиынтыққа сай келу қажет, жеткілікті емес.

Саясатты кеңейтпес бұрын жолды тексеріңіз

Жұмыс жүктемесінің ішкі желісінің нақты маршрутын және оның келесі секірісінің сәйкестігін алдымен тексеріңіз. Тікелей жария жол, NAT данасы, басқарылатын NAT-шлюз және транзиттік шлюз арқылы жеке жол — төрт түрлі дизайн, және олардың тек біреуі осында сипатталған басқарылатын қызмет.

Содан кейін әрекеттелген шеткі нүктені, мекенжайлар отбасын, сыртқы протоколды және протоколда порт болса, портты жазыңыз. Сәтті браузер сұранысының орнына клиент диагностикасын және желі иесінің ағын бақылауларын қолданыңыз, өйткені ол тек TCP мен UDP жұмыс істейтінін дәлелдейді. Осыдан кейін ағынның екі бағыты үшін қауіпсіздік тобын, ішкі желі ACL-ін, қонақ firewall-ын және қызмет саясатын қарап шығыңыз.

Қызмет тасымалдай алмайтын тасымалды өтеу үшін бүкіл трафикті ашпаңыз. Ереже өзгерісі оны түзетпейді және оқиғадан кейін де қалады.

Тасымал сыймағанда

Егер сыртқы протокол қолдау көрсетілетін жиынтықтан тыс болса, түзету архитектуралық: жол тасымалдай алатын тасымалды таңдаңыз немесе шығуды өзіңізге қажеттісін тасымалдайтын нәрсеге ауыстырыңыз. OpenVPN UDP арқылы, WireGuard UDP арқылы және TLS негізіндегі туннельдердің барлығы құжатталған жиынтыққа сай келеді. Клиент басқаратын NAT данасы нақты бір протокол өтуі керек және оны ұстау шығыны қолайлы болғанда таңдау болып табылады.

Кіріс VPN серверін орналастыру — бөлек жауабы бар бөлек мәселе. NAT-шлюз шығыс аудармасын береді және жалпы кіріс порттарын бағыттауды бермейді, сондықтан оның артындағы сервер өз шарттарымен жобаланған бекітілген жария кіреберісін қажет етеді.

Жұмыс тәртібі: сыртқы протоколды атаңыз, келесі секірісті растаңыз, оны құжатталған жиынтықпен салыстырыңыз, содан кейін архитектураны немесе тасымалды өзгертіңіз. Басқа порт нөмірі GRE-ді TCP-ге айналдыра алмайды, және тағы бір рұқсатшыл ереже аяқталған басқару алмасуын жұмыс істейтін деректер арнасына айналдыра алмайды.