Firwat GRE an ESP duerch en AWS NAT-Gateway scheiteren

Den Tunnel scheitert, d'Sécherheetsgrupp erlaabt schonn all Traffic, an d'Schlussfolgerung ass, datt AWS de VPN blockéiert. Et blockéiert näischt. En geréierten NAT-Gateway leet eng dokumentéiert Rei vun äusseren Protokoller weider, an natives GRE oder natives ESP sinn net dobäi, dofir wäert keng Regel, déi Dir derbäisetzt, de Gateway dozou bréngen, se ze droen. D'Erlaabnesregel an d'Transportfähegkeet sinn zwee verschidde Saachen, an nëmmen eng dovun ass Är ze änneren.

D'Reegelset ass net de Protokollset

Eng Sécherheetsgrupp entscheet, wéi en Traffic d'Instanz däerf verloossen. Den NAT-Gateway entscheet, wat en iwwersetzen an weiderleeë kann. Wann déi zweet Grenz gëllt, produzéiert eng permisiv Regel genee de Symptom, deen d'Leit falsch als Firewallproblem liesen: Pakete verloossen d'Instanz, den Kontrollaustausch kann esouguer fäerdeg ginn, an näischt kënnt beim Peer un.

D'Protokollspezifikatioun vum NAT-Gateway vun AWS zielt TCP, UDP an ICMP fir de geréierten Service op. Dat ass de ganzen ënnerstëtzten Set. Eng Erlaabnesregel fir en anere IP-Protokoll kann en net erweideren, well d'Regel vill éier bewäert gëtt, wéi de Weiderleeungswee vum Gateway erreecht gëtt.

Den Ënnerscheed ass wichteg, well déi zwou Feeler aus Client-Siicht identesch ausgesinn an ganz ënnerschiddlech Korrekture hunn.

PPTP weist firwat en Porttest läit

PPTP ass dat däitlechst aalt Beispill vun enger Portkontroll, déi näischt beweist. Et mécht eng TCP-Kontrollverbindung op Port 1723 op an dréit duerno d'Tunneldaten iwwer GRE, wat IP-Protokoll 47 ass. Protokoll 47 ass net TCP-Port 47, an déi zwou Zuelen hu näischt mateneen ze dinn, ausser datt se Zifferen deelen.

En Operateur, deen d'Verbindung op 1723 testt an en ofgeschlossene Handshake gesäit, schléisst, datt de Wee funktionéiert. Duerno geet den Datekanal ni ee Pak duerch, well de Gateway keng GRE-Ënnerstëtzung ze bidden huet. Dat ass eng Interpretatioun vun den Ufuerderunge vun engem ale Protokoll, net en Rot, PPTP anzesetzen, wat zënter Joeren veroudert ass.

Déi selwescht Logik gëllt fir all Protokoll, deem säi Kontrollkanal TCP oder UDP ass, wärend säi Datumswee dat net ass.

IPsec iwwerlieft nëmmen als UDP

IPsec ass de Fall, wou d'Äntwert bedingt ass an net en kloert Nee. AWS dokumentéiert NAT-Traversal als déi ënnerstëtzt Arrangement fir IPsec duerch en NAT-Gateway. Mat ausgemaachter NAT-T gëtt ESP an UDP agekapselt an de Gateway gesäit gewéinlech UDP amplaz vum Protokoll 50.

UDP 4500 z'erlaben bréngt d'Endpunkten net dozou, NAT-Traversal ze benotzen. Et erlaabt d'Paketen nëmmen, wann se schonn esou geformt sinn. Bestätegt aus der Ausgab vun der Verhandlung vum Client selwer, wéi eng Kapselung gewielt gouf, a bestätegt op der Empfangssäit, datt de Peer se akzeptéiert huet. Zwee Endpunkte, déi fir natives ESP konfiguréiert sinn, schécken weider natives ESP, egal wat de Reegelset seet.

En TCP- oder UDP-baséierte VPN passt an den dokumentéierten Transportset a kann nach ëmmer aus Grënn vum Routing, Filtering oder Authentifikatioun scheiteren. An de Set ze passen ass noutwenneg, net genuch.

Kuckt de Wee, ier Dir d'Politik erweidert

Verifizéiert déi tatsächlech Route vum Workload-Subnet an d'Identitéit vun hirem nächsten Hop als éischt. En direkte ëffentleche Wee, eng NAT-Instanz, en geréierten NAT-Gateway an en private Wee duerch en Transit-Gateway sinn véier verschidden Designen, an nëmmen ee vun hinnen ass dee geréierte Service, deen hei beschriwwe gëtt.

Dann notéiert den ugeprouften Endpunkt, d'Adressfamill, de baussenzege Protokoll an de Port, wou de Protokoll een huet. Benotzt d'Diagnostik vum Client an d'Flowobservatioune vum Netzwierkbesëtzer amplaz vun enger erfollegräicher Browser-Ufro, déi nëmme beweist, datt TCP an UDP funktionéieren. Duerno iwwerpréift d'Sécherheetsgrupp, d'Subnet-ACL, d'Firewall vum Gaascht an d'Servicepolitik fir béid Richtunge vum Flow.

Maacht net den ganze Traffic op, fir en Transport ze kompenséieren, deen de Service net ka droen. D'Reegelännerung wäert et net fixéieren, an et wäert den Tëschefall iwwerliewe.

Wann den Transport net passt

Wann de baussenzege Protokoll ausserhalb vum ënnerstëtzten Set läit, ass d'Korrektur architektonesch: wielt en Transport, deen de Wee ka droen, oder verréckelt den Ausgang op eppes, dat dee deen Dir braucht dréit. OpenVPN iwwer UDP, WireGuard iwwer UDP an TLS-baséiert Tunnelen passen all an den dokumentéierte Set. Eng NAT-Instanz, déi de Client geréiert, ass d'Optioun, wann e bestëmmte Protokoll muss duerchgoen an d'Betribskäschte fir se ze bedreiwen akzeptabel sinn.

En agéissende VPN-Server ze hosten ass e gesondert Problem mat enger gesonder Äntwert. En NAT-Gateway bitt ausgänglech Iwwersetzung an keng allgemeng agänglech Portweiderleedung, dofir brauch en Server hannendrun säin approuvéierten ëffentlechen Agang, deen op sengen eegene Konditioune gestalt ass.

Aarbechtsuerdnung: nennt de baussenzege Protokoll, bestätegt den nächsten Hop, vergläicht en mam dokumentéierte Set, an ännert duerno d'Architektur oder den Transport. Eng aner Portnummer kann GRE net an TCP ëmwandelen, an eng weider permisiv Regel kann en ofgeschlossenen Kontrollaustausch net an en funktionéierende Datekanal ëmwandelen.