Għaliex GRE u ESP jonqsu permezz ta' gateway NAT tal-AWS

It-tunnel jonqos, il-grupp tas-sigurtà diġà jippermetti t-traffiku kollu, u l-konklużjoni hija li l-AWS qed jimblokka l-VPN. Ma qed jimblokka xejn. Gateway NAT immexxi jgħaddi sett dokumentat ta' protokolli esterni, u GRE nattiv jew ESP nattiv mhumiex fih, għalhekk l-ebda regola li żżid mhija se ġġiegħel il-gateway iġorrhom. Ir-regola ta' permess u l-kapaċità tat-trasport huma żewġ affarijiet differenti, u waħda biss minnhom tista' tbiddel.

Is-sett tar-regoli mhuwiex is-sett tal-protokolli

Grupp tas-sigurtà jiddeċiedi liema traffiku jitħalla joħroġ mill-istanza. Il-gateway NAT jiddeċiedi x'jista' jittraduċi u jgħaddi. Meta tapplika t-tieni limitu, regola permissiva tipproduċi eżatt is-sintomu li n-nies jaqraw ħażin bħala problema tal-firewall: il-pakketti joħorġu mill-istanza, l-iskambju tal-kontroll jista' saħansitra jitlesta, u xejn ma jasal għand il-pari.

L-ispeċifikazzjoni tal-protokolli tal-gateway NAT tal-AWS telenka TCP, UDP u ICMP għas-servizz immexxi. Dak huwa s-sett sħiħ appoġġjat. Regola ta' permess għal protokoll IP ieħor ma tistax testendih, għaliex ir-regola tiġi evalwata ħafna qabel ma jintlaħaq il-mogħdija tal-għaddi tal-gateway.

Id-distinzjoni hija importanti għaliex iż-żewġ fallimenti jidhru identiċi mill-ġenb tal-klijent u għandhom soluzzjonijiet differenti għal kollox.

PPTP juri għaliex test tal-port jigdeb

PPTP huwa l-eżempju antik l-aktar ċar ta' verifika tal-port li ma tipprova xejn. Jiftaħ konnessjoni tal-kontroll TCP fuq il-port 1723 u mbagħad iġorr id-data tat-tunnel fuq GRE, li huwa l-protokoll IP 47. Il-protokoll 47 mhuwiex il-port TCP 47, u ż-żewġ numri m'għandhom xejn x'jaqsmu ma' xulxin ħlief li jaqsmu ċ-ċifri.

Operatur li jittestja l-konnettività lejn 1723 u jara handshake komplut jikkonkludi li l-mogħdija taħdem. Imbagħad il-kanal tad-data qatt ma jgħaddi pakkett wieħed, għaliex il-gateway m'għandux appoġġ GRE x'joffri. Din hija interpretazzjoni tar-rekwiżiti ta' protokoll antik, mhux parir biex tuża PPTP, li ilu skadut għal snin.

L-istess raġunament japplika għal kwalunkwe protokoll li l-kanal tal-kontroll tiegħu huwa TCP jew UDP filwaqt li l-mogħdija tad-data tiegħu mhijiex.

IPsec jibqa' ħaj biss bħala UDP

IPsec huwa l-każ fejn it-tweġiba hija kundizzjonali minflok le ċatt. L-AWS tiddokumenta NAT traversal bħala l-arranġament appoġġjat għal IPsec permezz ta' gateway NAT. B'NAT-T negozjat, ESP jiġi inkapsulat f'UDP u l-gateway jara UDP ordinarju minflok il-protokoll 50.

L-għoti ta' permess għal UDP 4500 ma jagħmilx lill-punti tat-tarf jużaw NAT traversal. Dan jippermetti biss il-pakketti jekk huma diġà f'dak il-forma. Ikkonferma mill-output tan-negozjati tal-klijent innifsu liema inkapsulament intgħażel, u kkonferma fuq il-ġenb li jirċievi li l-pari aċċettah. Żewġ punti tat-tarf konfigurati għal ESP nattiv se jkomplu jibagħtu ESP nattiv, x'jgħid is-sett tar-regoli.

VPN ibbażat fuq TCP jew UDP jaqbel mas-sett tat-trasport dokumentat u jista' xorta jonqos minħabba raġunijiet ta' routing, filtrazzjoni jew awtentikazzjoni. Li taqbel mas-sett huwa meħtieġ, mhux biżżejjed.

Ivverifika l-mogħdija qabel twessa' l-politika

Ivverifika r-rotta attwali tas-subnet tax-xogħol u l-identità tal-qabża li jmiss tagħha l-ewwel. Mogħdija pubblika diretta, istanza NAT, gateway NAT immexxi u mogħdija privata permezz ta' gateway tat-transitu huma erba' disinji differenti, u wieħed biss minnhom huwa s-servizz immexxi deskritt hawn.

Imbagħad irreġistra l-punt tat-tarf li nprova, il-familja tal-indirizzi, il-protokoll estern u l-port fejn il-protokoll għandu wieħed. Uża dijanjostika tal-klijent u osservazzjonijiet tal-fluss tas-sid tan-network minflok talba tal-browser li tirnexxi, li tipprova biss li TCP u UDP jaħdmu. Wara dan, eżamina l-grupp tas-sigurtà, l-ACL tas-subnet, il-firewall tal-mistieden u l-politika tas-servizz għaż-żewġ direzzjonijiet tal-fluss.

Tiftaħx it-traffiku kollu biex tikkumpensa trasport li s-servizz ma jistax iġorr. Il-bidla fir-regola ma tiffissahiex, u se tgħix wara l-inċident.

Meta t-trasport ma jaqbilx

Jekk il-protokoll estern huwa barra s-sett appoġġjat, is-soluzzjoni hija arkitettonika: agħżel trasport li l-mogħdija tista' ġġorr, jew ċċaqlaq l-egress għal xi ħaġa li ġġorr dak li għandek bżonn. OpenVPN fuq UDP, WireGuard fuq UDP u tunnels ibbażati fuq TLS kollha jaqblu mas-sett dokumentat. Istanza NAT immexxija mill-klijent hija l-għażla meta protokoll speċifiku għandu jgħaddi u l-ispiża operattiva biex titħaddem hija aċċettabbli.

L-ospitar ta' server VPN deħlin hija problema separata b'tweġiba separata. Gateway NAT jipprovdi traduzzjoni ħierġa u l-ebda forwarding tal-portijiet deħlin ġenerali, għalhekk server warajh jeħtieġ id-dħul pubbliku approvat tiegħu mfassal fuq it-termini tiegħu stess.

Ordni tax-xogħol: semmi l-protokoll estern, ikkonferma l-qabża li jmiss, qabbel mas-sett dokumentat, imbagħad ibdel l-arkitettura jew it-trasport. Numru tal-port differenti ma jistax ibiddel GRE fi TCP, u regola permissiva oħra ma tistax ibiddel skambju tal-kontroll komplut f'kanal tad-data li jaħdem.