AWS NAT ගේට්වේ හරහා GRE සහ ESP ඇයි අසාර්ථක වන්නේ

ටනලය අසාර්ථක වේ, ආරක්ෂක කණ්ඩායම දැනටමත් සියලුම රථවාහනයට අවසර දෙයි, සහ AWS VPN අවහිර කරමින් සිටී යන නිගමනයට එළඹේ. එය කිසිවක් අවහිර නොකරයි. කළමනාකරණය කරන ලද NAT ගේට්වේ ලේඛනගත බාහිර ප්රොටෝකෝල කට්ටලයක් යවයි, සහ ස්වදේශීය GRE හෝ ස්වදේශීය ESP එහි නොමැත, එබැවින් ඔබ එකතු කරන කිසිදු නියමයක් ගේට්වේට ඒවා ගෙන යාමට සලස්වන්නේ නැත. අනුමැති නියමය සහ ප්රවාහන හැකියාව වෙනස් දේවල් දෙකකි, සහ ඉන් එකක් පමණක් ඔබට වෙනස් කළ හැක.

නියම කට්ටලය ප්රොටෝකෝල කට්ටලය නොවේ

ආරක්ෂක කණ්ඩායම තීරණය කරන්නේ කුමන රථවාහනයට අවස්ථාවෙන් පිටවීමට අවසර දෙනු ලබන්නේද යන්නයි. NAT ගේට්වේ තීරණය කරන්නේ එය කුමක් පරිවර්තනය කර යැවීමට හැකිද යන්නයි. දෙවන සීමාව අදාළ වන විට, අවසරදායක නියමයක් මිනිසුන් ෆයර්වෝල් ගැටලුවක් ලෙස වැරදි ලෙස කියවන රෝග ලක්ෂණයම නිපදවයි: පැකට් අවස්ථාවෙන් පිටවේ, පාලන හුවමාරුව පවා සම්පූර්ණ විය හැක, සහ සහකරු වෙත කිසිවක් නොපැමිණේ.

AWS හි NAT ගේට්වේ ප්රොටෝකෝල පිරිවිතර කළමනාකරණය කරන ලද සේවාව සඳහා TCP, UDP සහ ICMP ලැයිස්තුගත කරයි. එය සම්පූර්ණ සහාය දක්වන කට්ටලයයි. වෙනත් IP ප්රොටෝකෝලයක් සඳහා අනුමැති නියමයකට එය පුළුල් කළ නොහැක, මන්ද ගේට්වේහි යැවීමේ මාර්ගයට ළඟා වීමට බොහෝ කලකට පෙර නියමය ඇගයේ.

මෙම වෙනස වැදගත් වන්නේ දෙවන අසාර්ථකත්වයම සේවාදායකයාගේ පැත්තෙන් සමාන ලෙස පෙනෙන අතර ඒවාට සම්පූර්ණයෙන්ම වෙනස් නිවැරදි කිරීම් ඇති බැවිනි.

PPTP පෙන්වන්නේ පෝර්ට් පරීක්ෂාව ඇයි බොරු කියන්නේද යන්නයි

කිසිවක් ඔප්පු නොකරන පෝර්ට් පරීක්ෂාවක පැහැදිලිම පැරණි උදාහරණය PPTP ය. එය 1723 පෝර්ට් එකේ TCP පාලන සම්බන්ධතාවක් විවෘත කර පසුව ටනල දත්ත GRE හරහා ගෙන යයි, එය IP ප්රොටෝකෝලය 47 වේ. ප්රොටෝකෝලය 47 TCP පෝර්ට් 47 නොවේ, සහ මෙම සංඛ්යා දෙකට ඉලක්කම් බෙදාගැනීම හැර එකිනෙකට කිසිදු සම්බන්ධයක් නැත.

1723 වෙත සම්බන්ධතාවය පරීක්ෂා කර සම්පූර්ණ වූ හස්ත සම්පර්කයක් දකින ක්රියාකරු මාර්ගය ක්රියා කරන බව නිගමනය කරයි. පසුව දත්ත නාලිකාව කිසිදා එක පැකට්ටුවක්වත් පසු කරන්නේ නැත, මන්ද ගේට්වේට ඉදිරිපත් කිරීමට GRE සහායක් නොමැති බැවිනි. මෙය පැරණි ප්රොටෝකෝලයක අවශ්යතා පිළිබඳ අර්ථ නිරූපණයකි, වසර ගණනාවක් පැරණි වූ PPTP යෙදවීමට උපදෙසක් නොවේ.

පාලන නාලිකාව TCP හෝ UDP වන අතර දත්ත මාර්ගය එසේ නොවන ඕනෑම ප්රොටෝකෝලයකට එම තර්කයම අදාළ වේ.

IPsec ජීවත් වන්නේ UDP ලෙස පමණි

IPsec යනු පිළිතුර තියුණු නැතක් නොව කොන්දේසි සහිත වන අවස්ථාවයි. NAT ගේට්වේ හරහා IPsec සඳහා NAT තරණය AWS සහාය දක්වන විධිවිධානය ලෙස ලේඛනගත කරයි. NAT-T සාකච්ඡා වූ පසු ESP UDP තුළ කැප්සියුල කරනු ලබන අතර ගේට්වේ ප්රොටෝකෝලය 50 වෙනුවට සාමාන්ය UDP දකියි.

UDP 4500 ට අවසර දීමෙන් අන්ත ලක්ෂ්ය NAT තරණය භාවිතා කිරීමට පටන් නොගනී. එය පැකට් දැනටමත් එම හැඩයෙන් තිබේ නම් පමණක් අවසර දෙයි. සේවාදායකයාගේම සාකච්ඡා ප්රතිදානයෙන් කුමන කැප්සියුලනය තෝරාගත්තේද යන්න තහවුරු කරන්න, සහ ලබන පැත්තේ සහකරු එය පිළිගත් බව තහවුරු කරන්න. ස්වදේශීය ESP සඳහා වින්යාස කරන ලද අන්ත ලක්ෂ්ය දෙකක් නියම කට්ටලය කුමක් කීවත් ස්වදේශීය ESP යැවීම දිගටම කරගෙන යනු ඇත.

TCP හෝ UDP පාදක VPN ලේඛනගත ප්රවාහන කට්ටලයට ගැළපෙන අතර තවමත් මාර්ගගත කිරීම, පෙරහන් කිරීම හෝ සත්යාපනය හේතුවෙන් අසාර්ථක විය හැක. කට්ටලයට ගැළපීම අවශ්ය වේ, ප්රමාණවත් නොවේ.

ප්රතිපත්තිය පුළුල් කිරීමට පෙර මාර්ගය පරීක්ෂා කරන්න

වැඩබර උපජාලයේ සැබෑ මාර්ගය සහ එහි මීළඟ පැනීමේ අනන්යතාවය මුලින්ම සත්යාපනය කරන්න. සෘජු පොදු මාර්ගය, NAT අවස්ථාව, කළමනාකරණය කරන ලද NAT ගේට්වේ සහ සංක්රමණ ගේට්වේ හරහා පෞද්ගලික මාර්ගය විවිධ මෝස්තර හතරකි, සහ ඉන් එකක් පමණක් මෙහි විස්තර කර ඇති කළමනාකරණය කරන ලද සේවාවයි.

පසුව උත්සාහ කළ අන්ත ලක්ෂ්යය, ලිපින පවුල, බාහිර ප්රොටෝකෝලය සහ ප්රොටෝකෝලයට පෝර්ට් එකක් ඇත්නම් එම පෝර්ට් එක සටහන් කරන්න. සාර්ථක බ්රව්සර ඉල්ලීමක් වෙනුවට සේවාදායකයාගේ රෝග විනිශ්චය සහ ජාල හිමිකරුගේ ප්රවාහ නිරීක්ෂණ භාවිතා කරන්න, මන්ද එය TCP සහ UDP ක්රියා කරන බව පමණක් ඔප්පු කරයි. ඉන් පසුව, ප්රවාහයේ දිශා දෙකටම ආරක්ෂක කණ්ඩායම, උපජාල ACL, අමුත්තන්ගේ ෆයර්වෝල් සහ සේවා ප්රතිපත්තිය සමාලෝචනය කරන්න.

සේවාවට ගෙන යා නොහැකි ප්රවාහනයක් සඳහා වන්දි ලෙස සියලු රථවාහනය විවෘත නොකරන්න. නියම වෙනස එය නිවැරදි නොකරන අතර එය සිද්ධියෙන් පසුවත් පවතිනු ඇත.

ප්රවාහනය නොගැළපෙන විට

බාහිර ප්රොටෝකෝලය සහාය දක්වන කට්ටලයෙන් පිටත නම්, නිවැරදි කිරීම ගෘහ නිර්මාණාත්මකය: මාර්ගයට ගෙන යා හැකි ප්රවාහනයක් තෝරන්න, නැතහොත් ඔබට අවශ්ය දේ ගෙන යන දෙයකට පිටවීම ගෙන යන්න. OpenVPN UDP මත, WireGuard UDP මත සහ TLS පාදක ටනල සියල්ලම ලේඛනගත කට්ටලයට ගැළපේ. නිශ්චිත ප්රොටෝකෝලයක් පසු විය යුතු අතර එය ධාවනය කිරීමේ මෙහෙයුම් පිරිවැය පිළිගත හැකි විට පාරිභෝගික-කළමනාකරණ NAT අවස්ථාව විකල්පයයි.

ඇතුළතින් VPN සේවාදායකයක් සත්කාරකත්වය දීම වෙනම පිළිතුරක් සහිත වෙනම ගැටලුවකි. NAT ගේට්වේ පිටතට පරිවර්තනය සපයයි සහ සාමාන්ය ඇතුළතින් පෝර්ට් යැවීමක් සපයන්නේ නැත, එබැවින් එහි පිටුපස ඇති සේවාදායකයට තමන්ගේම කොන්දේසි මත නිර්මාණය කළ අනුමත පොදු පිවිසුමක් අවශ්ය වේ.

කාර්ය පිළිවෙල: බාහිර ප්රොටෝකෝලය නම් කරන්න, මීළඟ පැනීම තහවුරු කරන්න, ලේඛනගත කට්ටලය සමඟ සසඳන්න, පසුව ගෘහ නිර්මාණය හෝ ප්රවාහනය වෙනස් කරන්න. වෙනත් පෝර්ට් අංකයකට GRE TCP බවට පත් කළ නොහැක, සහ තවත් එක් අවසරදායක නියමයකට සම්පූර්ණ පාලන හුවමාරුවක් ක්රියාකාරී දත්ත නාලිකාවක් බවට පත් කළ නොහැක.