Яагаад GRE болон ESP нь AWS NAT гарцаар дамждаггүй вэ

Туннель ажиллахгүй, хамгаалалтын бүлэг аль хэдийн бүх урсгалыг зөвшөөрч байна, дүгнэлт нь AWS VPN-г хааж байна гэж гарна. Энэ нь юу ч хаахгүй. Удирдлагын NAT гарц гадаад протоколын баримтжуулсан багцыг дамжуулдаг бөгөөд уугуул GRE эсвэл уугуул ESP түүнд ороогүй тул таны нэмсэн ямар ч дүрэм гарцыг тэдгээрийг зөөхөд хүргэхгүй. Зөвшөөрлийн дүрэм ба зөөвөрлөх чадвар нь хоёр өөр зүйл бөгөөд тэдгээрийн зөвхөн нэгийг л та өөрчилж чадна.

Дүрмийн багц нь протоколын багц биш

Хамгаалалтын бүлэг аль урсгалд инстансаас гарахыг зөвшөөрөхийг шийддэг. NAT гарц юуг орчуулж, дамжуулж чадахаа шийддэг. Хоёр дахь хязгаар үйлчлэх үед зөвшөөрөгч дүрэм нь хүмүүс галт ханын асуудал гэж буруу уншдаг шинж тэмдгийг яг үүсгэдэг: пакетууд инстансаас гарч, удирдлагын солилцоо бүр дуусч ч болно, нөгөө талд нь юу ч хүрэхгүй.

AWS NAT гарцын протоколын тодорхойлолт нь удирдлагын үйлчилгээний хувьд TCP, UDP, ICMP-г жагсаасан. Энэ бол бүх дэмжигдсэн багц. Өөр IP протоколын зөвшөөрлийн дүрэм үүнийг өргөжүүлж чадахгүй, учир нь дүрэм гарцын дамжуулах замыг хүрэхээс нэлээд өмнө үнэлэгддэг.

Энэ ялгаа чухал, учир нь хоёр алдаа клиентийн талаас ижил харагдаж, огт өөр засвартай.

PPTP нь портын шалгалт яагаад худал хэлдгийг харуулдаг

PPTP нь юу ч нотлохгүй портын шалгалтын хамгийн тод хуучин жишээ. Энэ нь 1723 порт дээр TCP удирдлагын холболт нээж, дараа нь туннелийн өгөгдлийг GRE-ээр зөөдөг бөгөөд энэ нь IP протокол 47. 47 протокол нь TCP порт 47 биш бөгөөд эдгээр хоёр тоо цифр хуваалцахаас өөр харилцан хамааралгүй.

1723 руу холболтыг шалгаж, дууссан гар барилтыг харсан оператор зам ажиллаж байна гэж дүгнэдэг. Дараа нь өгөгдлийн суваг нэг ч пакет дамжуулдаггүй, учир нь гарцад санал болгох GRE дэмжлэг байхгүй. Энэ нь хуучин протоколын шаардлагын тайлбар бөгөөд олон жилийн өмнө хуучирсан PPTP-г нэвтрүүлэх зөвлөмж биш.

Мөн адил үндэслэл нь удирдлагын суваг нь TCP эсвэл UDP байх боловч өгөгдлийн зам нь тийм биш аливаа протоколд хамаарна.

IPsec зөвхөн UDP хэлбэрээр амьд үлддэг

IPsec бол хариулт нь хатуу үгүй биш, нөхцөлтэй байдаг тохиолдол. AWS нь NAT гарцаар дамжуулах IPsec-ийн хувьд NAT-ийн дамжуулалтыг дэмжигдсэн зохицуулалт гэж баримтжуулдаг. NAT-T тохиролцсоны дараа ESP нь UDP дотор багтаж, гарц нь 50 протоколын оронд энгийн UDP хардаг.

UDP 4500-г зөвшөөрөх нь төгсгөлийн цэгүүдийг NAT-ийн дамжуулалт ашиглахад хүргэхгүй. Энэ нь пакетууд аль хэдийн ийм хэлбэртэй бол зөвхөн тэдгээрийг зөвшөөрдөг. Клиентийн өөрийн хэлэлцээрийн гаралтаас ямар инкапсуляци сонгогдсоныг баталгаажуулж, хүлээн авах талд нөгөө тал үүнийг хүлээн авсныг баталгаажуулна уу. Уугуул ESP-д тохируулсан хоёр төгсгөлийн цэг нь дүрмийн багц юу гэж хэлснээс үл хамааран уугуул ESP илгээсээр байх болно.

TCP эсвэл UDP-д суурилсан VPN нь баримтжуулсан зөөвөрлөлтийн багцад нийцдэг бөгөөд маршрутлалт, шүүлт эсвэл баталгаажуулалтын шалтгаанаар амжилтгүй болж болно. Багцад нийцэх нь зайлшгүй, хангалттай биш.

Бодлогыг өргөжүүлэхийн өмнө замыг шалгана уу

Ажлын ачааллын дэд сүлжээний бодит маршрут болон түүний дараагийн үсрэлтийн таних мэдээллийг эхлээд шалгана уу. Шууд нийтийн зам, NAT инстанс, удирдлагын NAT гарц, дамжуулах гарцаар дамжих хувийн зам нь дөрвөн өөр загвар бөгөөд тэдгээрийн зөвхөн нэг нь энд тайлбарласан удирдлагын үйлчилгээ юм.

Дараа нь оролдсон төгсгөлийн цэг, хаягийн гэр бүл, гадаад протокол, протоколд порт байвал портыг бичнэ үү. Амжилттай хөтчийн хүсэлтийн оронд клиентийн диагностик болон сүлжээний эзэмшигчийн урсгалын ажиглалтыг ашиглана уу, учир нь энэ нь зөвхөн TCP, UDP ажиллаж байгааг нотолдог. Үүний дараа урсгалын хоёр чиглэлийн хувьд хамгаалалтын бүлэг, дэд сүлжээний ACL, зочны галт хана, үйлчилгээний бодлогыг хянана уу.

Үйлчилгээ зөөж чадахгүй зөөвөрлөлтийг нөхөхийн тулд бүх урсгалыг нээх хэрэггүй. Дүрмийн өөрчлөлт үүнийг засахгүй бөгөөд энэ нь ослын дараа ч үлдэнэ.

Зөөвөрлөлт тохирохгүй үед

Хэрэв гадаад протокол дэмжигдсэн багцаас гадуур байвал засвар нь архитектурын шинжтэй: зам зөөж чадах зөөвөрлөлтийг сонгох, эсвэл гарцыг танд хэрэгтэйг зөөдөг зүйл рүү шилжүүлэх. OpenVPN UDP-ээр, WireGuard UDP-ээр, TLS-д суурилсан туннельүүд бүгд баримтжуулсан багцад нийцдэг. Тодорхой протокол заавал дамжих ёстой бөгөөд түүнийг ажиллуулах зардал хүлээн зөвшөөрөгдөх үед хэрэглэгчийн удирддаг NAT инстанс нь сонголт юм.

Орж буй VPN серверийг хостлох нь өөр хариулттай тусдаа асуудал. NAT гарц нь гарч буй орчуулгыг өгдөг бөгөөд ерөнхий орж буй портын дамжуулалтыг өгдөггүй тул түүний арын сервер өөрийн нөхцлөөр зохион бүтээгдсэн зөвшөөрөгдсөн нийтийн нэвтрэх хэсэгтэй байх шаардлагатай.

Ажлын дараалал: гадаад протоколыг нэрлэж, дараагийн үсрэлтийг баталгаажуулж, баримтжуулсан багцтай харьцуулж, дараа нь архитектур эсвэл зөөвөрлөлтийг өөрчил. Өөр портын дугаар GRE-г TCP болгож чадахгүй бөгөөд дахин нэг зөвшөөрөгч дүрэм дууссан удирдлагын солилцоог ажиллаж буй өгөгдлийн суваг болгож чадахгүй.