ولې GRE او ESP د AWS NAT ګېټوې له لارې ناکامېږي

ټنل ناکامېږي، د امنیت ګروپ لا دمخه ټول ترافیک اجازه کوي، او پایله دا ده چې AWS VPN بندوي۔ هغه څه نه بندوي۔ مدیریت شوې NAT ګېټوې د بهرنیو پروتوکولونو یوه مستنده مجموعه لېږدوي، او اصلي GRE یا اصلي ESP پکې نه دي، نو هغه قاعده چې تاسو یې ورزیات کړئ ګېټوې نه شي کولی دوی ولېږدوي۔ د اجازې قاعده او د لېږد وړتیا دوه بېلې شیان دي، او یوازې یو له دوی څخه ستاسو په لاس کې دی چې بدل یې کړئ۔

د قواعدو مجموعه د پروتوکولونو مجموعه نه ده

د امنیت ګروپ فیصله کوي چې کوم ترافیک ته اجازه ده چې انسټانس پریږدي۔ NAT ګېټوې فیصله کوي چې څه ژباړلی او لېږدولی شي۔ کله چې دویمه محدودیت پلي شي، اجازه ورکوونکې قاعده بالکل هغه نښه پیدا کوي چې خلک یې په غلطه توګه د فایر وال ستونزه ګڼي: پاکټونه انسټانس پریږدي، د کنټرول تبادله ممکن بشپړه شي هم، او ملګري ته څه نه رسېږي۔

د AWS د NAT ګېټوې پروتوکول مشخصات د مدیریت شوې خدمت لپاره TCP، UDP او ICMP لیستوي۔ دا ټوله ملاتړ شوې مجموعه ده۔ د بل IP پروتوکول لپاره د اجازې قاعده نشي کولی دا پراخه کړي، ځکه چې قاعده د ګېټوې د لېږد لارې ته له رسېدو ډېر دمخه ارزول کېږي۔

دا توپیر مهم دی ځکه چې دواړه ناکامۍ د کارونکي له پلوه یو شان ښکاري او د دوی سمونونه بالکل بېل دي۔

PPTP ښيي چې ولې د پورټ ازموینه درواغ وایي

PPTP د پورټ کتنې تر ټولو روښانه پخوانی مثال دی چې څه نه ثابتوي۔ دا پر پورټ 1723 د TCP کنټرول اړیکه پرانیزي او بیا د ټنل ډیټا د GRE له لارې لېږدوي، کوم چې IP پروتوکول 47 دی۔ پروتوکول 47 د TCP پورټ 47 نه دی، او دغه دوه عددونه له یو بل سره هیڅ تړاو نه لري پرته له عددي رقمونو شریکولو۔

هغه عملیات کوونکی چې 1723 ته اړیکه ازموي او بشپړ لاس ورکول ویني، نتیجه اخلي چې لاره کار کوي۔ بیا د ډیټا کانال هېڅکله یو هم پاکټ نه تېروي، ځکه چې ګېټوې د وړاندې کولو لپاره GRE ملاتړ نه لري۔ دا د یوه زوړ پروتوکول د اړتیاوو تفسیر دی، نه د PPTP د ځای پرځای کولو مشوره، کوم چې کلونه کلونه پخوانی شوی دی۔

همدا استدلال پر هر هغه پروتوکول پلي کېږي چې کنټرول کانال یې TCP یا UDP وي خو د ډیټا لاره یې داسې نه وي۔

IPsec یوازې د UDP په توګه ژوندی پاتې کېږي

IPsec هغه حالت دی چې ځواب پکې مشروط دی نه کلک نه۔ AWS د NAT ګېټوې له لارې د IPsec لپاره NAT تېرېدنه د ملاتړ شوې ترتیب په توګه مستندوي۔ کله چې NAT-T بحث شي، ESP د UDP دننه بسته بندي کېږي او ګېټوې د پروتوکول 50 پرځای عادي UDP ویني۔

د UDP 4500 اجازه ورکول د پای نقطو لپاره د NAT تېرېدنې کارول نه رامنځته کوي۔ دا یوازې هغه وخت پاکټونه اجازه کوي چې مخکې همداسې جوړ شوي وي۔ د کارونکي د خپلې خبرې اترې له وتنې څخه تایید کړئ چې کومه بسته بندي غوره شوې، او په ترلاسه کوونکي اړخ کې تایید کړئ چې ملګري هغه منلې۔ د اصلي ESP لپاره تنظیم شوې دوه پای نقطې به د قواعدو مجموعې د هر څه ویلو سره سره اصلي ESP لېږلو ته دوام ورکړي۔

د TCP یا UDP پر بنسټ VPN د مستند شوې لېږد مجموعې سره ځای ځای کېږي او بیا هم د لارښوونې، فلټر کولو یا تصدیق کولو له امله ناکامېدلی شي۔ د مجموعې سره ځای کېدل اړین دی، بس نه دی۔

د پالیسۍ پراخولو دمخه لاره وګورئ

د کاري بار د فرعي شبکې ریښتینې لاره او د هغې د بل ټوپ هویت لومړی تایید کړئ۔ مستقیمه عامه لاره، NAT انسټانس، مدیریت شوې NAT ګېټوې او د ټرانسټ ګېټوې له لارې خصوصي لاره څلور بېل ډیزاینونه دي، او یوازې یو له دوی څخه دلته تشریح شوې مدیریت شوې خدمت دی۔

بیا هڅه شوې پای نقطه، د پتو کورنۍ، بهرنی پروتوکول او پورټ چې پروتوکول لري، ثبت کړئ۔ د بریالۍ براوزر غوښتنې پرځای د کارونکي تشخیصات او د شبکې مالک د جریان کتنې وکاروئ، ځکه چې هغه یوازې دا ثابتوي چې TCP او UDP کار کوي۔ له هغې وروسته، د جریان دواړو لورو لپاره امنیت ګروپ، د فرعي شبکې ACL، د مېلمه فایر وال او د خدمت پالیسي بیاکتنه کړئ۔

د هغه لېږد د جبران لپاره چې خدمت یې نه شي لېږدولی ټول ترافیک مه پرانیزئ۔ د قاعدې بدلون به یې سم نه کړي، او له پېښې وروسته به هم پاتې شي۔

کله چې لېږد ځای نه کېږي

که بهرنی پروتوکول د ملاتړ شوې مجموعې څخه بهر وي، سمون معماري دی: هغه لېږد غوره کړئ چې لاره یې لېږدولی شي، یا وتل هغه څه ته انتقال کړئ چې تاسو ته اړین شی لېږدوي۔ OpenVPN د UDP له لارې، WireGuard د UDP له لارې او د TLS پر بنسټ ټنلونه ټول د مستند شوې مجموعې سره ځای کېږي۔ د کارونکي مدیریت شوې NAT انسټانس هغه انتخاب دی کله چې یو ځانګړی پروتوکول باید تېر شي او د هغې د چلولو عملیاتي لګښت منځلاری وي۔

د ننوتونکي VPN سرور کوربه توب یوه بېله ستونزه ده چې بېل ځواب لري۔ NAT ګېټوې وتونکې ژباړه برابروي او عمومي ننوتونکې پورټ لېږد نه برابروي، نو تر شا یې سرور خپل تصویب شوی عامه ننوتل ته اړتیا لري چې پر خپلو شرایطو ډیزاین شوی وي۔

د کار ترتیب: بهرنی پروتوکول ونوموئ، بل ټوپ تایید کړئ، له مستند شوې مجموعې سره یې پرتله کړئ، بیا معماري یا لېږد بدل کړئ۔ بل پورټ شمېره GRE په TCP نه شي بدلولی، او یوه بله اجازه ورکوونکې قاعده نه شي کولی بشپړه کنټرول تبادله کاري ډیټا کانال ته بدله کړي۔