Эмне үчүн GRE жана ESP AWS NAT-шлюзу аркылуу өтпөйт

Туннель иштебейт, коопсуздук тобу бардык трафикке уруксат берип койгон, ал эми тыянак AWS VPNди блоктоп жатат деп чыгат. Ал эч нерсени блоктобойт. Башкарылуучу NAT-шлюз сырткы протоколдордун документтелген жыйындысын өткөрөт, жана жергиликтүү GRE же жергиликтүү ESP ага кирбейт, ошондуктан сиз кошкон эч бир эреже шлюзду аларды өткөрүүгө мажбурлабайт. Уруксат эрежеси жана ташуу жөндөмү эки башка нерсе, жана алардын бирөө гана сиздин өзгөртүүңүздө.

Эрежелер жыйындысы протоколдор жыйындысы эмес

Коопсуздук тобу кайсы трафикке инстансты таштоого уруксат экенин чечет. NAT-шлюз эмнени которуп, өткөрө аларын чечет. Экинчи чектөө колдонулганда, уруксат берүүчү эреже адамдар туура эмес түшүнгөн симптомду так жаратат: пакеттер инстанстан чыгат, башкаруу алмашуусу бүтүшү да мүмкүн, ал эми өнөктөшкө эч нерсе жетпейт.

AWS NAT-шлюз протоколунун спецификациясы башкарылуучу кызмат үчүн TCP, UDP жана ICMP тизмелейт. Бул толук колдоого алынган жыйынды. Башка IP протоколу үчүн уруксат эрежеси аны кеңейте албайт, анткени эреже шлюздун өткөрүү жолуна жетээрден көп мурун бааланат.

Бул айырма маанилүү, анткени эки ийгиликсиздик кардар тарабынан бирдей көрүнөт жана таптакыр башка оңдоолору бар.

PPTP порт текшерүүсү эмне үчүн калп айтарын көрсөтөт

PPTP — эч нерсени далилдебеген порт текшерүүсүнүн эң айкын эски мисалы. Ал 1723 портунда TCP башкаруу байланышын ачат, анан туннелдин маалыматтарын GRE аркылуу өткөрөт, ал IP протоколу 47. 47 протоколу TCP порту 47 эмес, жана бул эки сандын бири-бирине тиешеси жок, цифраларды бөлүшүүдөн башка.

1723кө туташууну текшерип, аякталган кол алышууну көргөн оператор жол иштейт деп тыянак чыгарат. Анан маалымат каналы бир да пакетти өткөрбөйт, анткени шлюзда сунуштай турган GRE колдоосу жок. Бул эски протоколдун талаптарын чечмелөө, жылдар бою эскирген PPTPни киргизүү боюнча кеңеш эмес.

Ушундай эле ой жүгүртүү башкаруу каналы TCP же UDP болуп, маалымат жолу андай болбогон ар кандай протоколго тиешелүү.

IPsec UDP катары гана жашайт

IPsec — жообу катуу жок эмес, шарттуу болгон учур. AWS NAT-шлюз аркылуу IPsec үчүн NAT-дан өтүүнү колдоого алынган жайгашуу катары документтейт. NAT-T келишилгенде ESP UDPнын ичине оролот жана шлюз 50 протоколунун ордуна кадимки UDP көрөт.

UDP 4500гө уруксат берүү четки чекиттерди NAT-дан өтүүнү колдонууга мажбурлабайт. Ал пакеттерди алар мурунтан ошондой формада болсо гана өткөрөт. Кардардын өзүнүн сүйлөшүү чыгышынан кайсы инкапсуляция тандалганын ырастаңыз, жана кабыл алуучу тарапта өнөктөш аны кабыл алганын ырастаңыз. Жергиликтүү ESP үчүн конфигурацияланган эки четки чекит эрежелер жыйындысы эмне десе да жергиликтүү ESP жөнөтүүнү улантат.

TCP же UDP негизиндеги VPN документтелген ташуу жыйындысына туура келет жана баары бир маршруттоо, чыпкалоо же аутентификация себептеринен иштебей калышы мүмкүн. Жыйындыга туура келүү зарыл, жетиштүү эмес.

Саясатты кеңейтүүдөн мурун жолду текшериңиз

Жумуш жүктөмүнүн ички тармагынын ишкер маршрутун жана анын кийинки секиригинин инсандыгын адегенде текшериңиз. Түз коомдук жол, NAT инстансы, башкарылуучу NAT-шлюз жана транзиттик шлюз аркылуу жеке жол — төрт башка долбоор, жана алардын бирөө гана бул жерде сүрөттөлгөн башкарылуучу кызмат.

Анан аракет кылынган четки чекитти, даректер үй-бүлөсүн, сырткы протоколду жана протоколдо порт болсо, портту жазыңыз. Ийгиликтүү браузер сурамынын ордуна кардардын диагностикасын жана тармак ээсинин агым байкоолорун колдонуңуз, анткени ал TCP жана UDP иштей турганын гана далилдейт. Андан кийин агымдын эки багыты үчүн коопсуздук тобун, ички тармактын ACLин, коноктун firewallын жана кызмат саясатын карап чыгыңыз.

Кызмат ташый албаган ташуунун ордун толтуруу үчүн бүт трафикти ачпаңыз. Эреженин өзгөрүшү аны оңдобойт жана ал окуядан кийин да калат.

Ташуу туура келбегенде

Эгер сырткы протокол колдоого алынган жыйындыдан тышкары болсо, оңдоо архитектуралык: жол ташый алган ташууну тандаңыз, же чыгууну сизге керектүүнү ташыган нерсеге жылдырыңыз. OpenVPN UDP аркылуу, WireGuard UDP аркылуу жана TLS негизиндеги туннелдердин баары документтелген жыйындыга туура келет. Кардар башкарган NAT инстансы белгилүү бир протокол өтүшү керек жана аны кармоонун эксплуатациялык чыгымы кабыл алынарлык болгондо тандоо болуп саналат.

Кирүүчү VPN серверин хостинг кылуу өзүнчө жообу бар өзүнчө маселе. NAT-шлюз чыгуучу котормону берет жана жалпы кирүүчү портторду багыттоону бербейт, ошондуктан анын артындагы сервер өз шарттарында долбоорлонгон бекитилген коомдук кире беришин талап кылат.

Иш тартиби: сырткы протоколду атаңыз, кийинки секирикти ырастаңыз, аны документтелген жыйынды менен салыштырыңыз, анан архитектураны же ташууну өзгөртүңүз. Башка порт номери GREни TCPге айландыра албайт, жана дагы бир уруксат берүүчү эреже аякталган башкаруу алмашуусун иштеген маалымат каналына айландыра албайт.