Sababta GRE iyo ESP ugu guuldarraystaan marinka NAT ee AWS

Tunelka wuu guuldarraystaa, kooxda ammaanku horey ayay u fasaxday dhammaan socodka, waxaana la soo gabagabeeyaa in AWS xannibayso VPN-ka. Waxba ma xannibayso. Marinka NAT ee la maareeyo wuxuu gudbiyaa ururin diiwaangashan oo borotokoolo dibadeed ah, GRE asalka ah ama ESP asalka ah kuma jiraan, sidaas darteed qaanuun kasta oo aad ku darto ma ka dhigi doono marinka inuu iyaga qaado. Qaanuunka fasaxa iyo awoodda gudbinta waa laba shay oo kala duwan, midkoodna kaliya ayaa adiga gacantaada ku jira inaad beddesho.

Ururinta qaanuunnada ma aha ururinta borotokoolada

Kooxda ammaanku waxay go'aamisaa socodka loo fasaxay inuu ka baxo shayga. Marinka NAT wuxuu go'aamiyaa waxa uu turjumi karo oo gudbin karo. Marka xaddidaadda labaad khusayso, qaanuun fasaxaya wuxuu soo saaraa isla calaamadda dadku si khaldan u akhriyaan dhibaatada dab-damiska: baakaduhu waxay ka baxaan shayga, is-weydaarsiga kontoroolka xitaa wuu dhammaan karaa, waxna ma gaaro dhinaca kale.

AWS qiyaasta borotokoolada marinka NAT waxay ku taxan tahay TCP, UDP iyo ICMP adeegga la maareeyo. Taasi waa ururinta buuxda ee la taageeray. Qaanuun fasax oo borotokool IP kale ma ballaarin karo, sababtoo ah qaanuunka waxaa la qiimeeyaa waqti badan ka hor inta aan la gaarin wadada gudbinta marinka.

Farqigaani waa muhiim sababtoo ah labada guuldaradood waxay ka muuqdaan dhinaca macmiilka si isku mid ah oo waxay leeyihiin hagaajinno kala duwan.

PPTP wuxuu muujinayaa sababta imtixaanka dekeddu u been sheegto

PPTP waa tusaalaha hore ee ugu cad ee hubinta dekedda oo waxba caddayn. Waxay furtaa xiriirka kontoroolka TCP dekedda 1723 ka dibna xogta tunelka ku qaadaa GRE, taas oo ah borotokoolka IP 47. Borotokoolka 47 ma aha dekedda TCP 47, labada lambar wax xiriir ah oo isku haysta ma laha marka laga reebo inay wadaagaan lambarrada.

Hawlwadeenka imtixaanka xiriirka 1723 oo arka gacan-qabsi dhammaystiran wuxuu soo gabagabeeyaa in wadadu shaqeyso. Kadib kanaalka xogta waligiis ma gudbiyo hal baakad, sababtoo ah marinku ma hayo taageero GRE oo uu bixiyo. Tani waa tafsiirka shuruudaha borotokool hore, ma aha talo lagu hirgelinayo PPTP, oo sanado badan duugoobay.

Isla sababtaas waxay khuseysaa borotokool kasta oo kanaalka kontoroolkiisu yahay TCP ama UDP halka wadada xogtasu aanay ahayn.

IPsec wuxuu ku noolaanayaa kaliya sida UDP

IPsec waa kiiska jawaabtu ay shuruud ku xiran tahay ee aan ahayn may toos ah. AWS waxay diiwaangelisaa gudbinta NAT sida habka la taageeray ee IPsec ee marinka NAT. Marka NAT-T laga wada hadlo, ESP waxaa lagu duubaa UDP oo marinku wuxuu arkaa UDP caadi ah halkii borotokoolka 50.

Fasaxa UDP 4500 kama dhigto qodobbada dambe inay isticmaalaan gudbinta NAT. Waxay kaliya fasaxaysaa baakadaha haddii horey loogu qaabeeyay sidaas. Xaqiiji natiijada wada-hadalka macmiilka laftiisa kee duubid la doortay, oo xaqiiji dhinaca qaadashada in dhinaca kale uu aqbalay. Laba qodob oo dambe oo loo habeeyay ESP asalka ah waxay sii wadi doonaan dirista ESP asalka ah, wax kasta oo ururinta qaanuunnadu tidhaahdo.

VPN ku salaysan TCP ama UDP waxay ku habboon tahay ururinta gudbinta ee diiwaangashan haddana way guuldarraystaan karaan sababo la xiriira marin, shaandhayn ama xaqiijin. Ku habboonaanta ururinta waa lagama maarmaan, kuma filna.

Hubi wadada ka hor intaadan ballaarin siyaasadda

Xaqiiji wadada dhabta ah ee shabakadda hoose ee culeyska shaqada iyo aqoonsiga boodhka xiga marka hore. Waddo dadweyne toos ah, shay NAT, marin NAT la maareeyo iyo waddo gaar ah oo marinka gudbinta ku socota waa afar naqshad oo kala duwan, midkoodna kaliya ayaa ah adeegga la maareeyo ee halkan lagu sharraxay.

Kadib diiwaangeli qodobka dambe ee la isku dayay, qoyska cinwaanka, borotokoolka dibadda iyo dekedda halka borotokoolku leeyahay mid. Isticmaal baaritaanka macmiilka iyo u-kormeerka qulqulka milkiilaha shabakadda halkii codsi browser guulaystay, kaas oo kaliya caddeeya in TCP iyo UDP shaqeeyaan. Intaas ka dib, dib u eeg kooxda ammaanka, ACL-ka shabakadda hoose, dab-damiska martida iyo siyaasadda adeegga labada jiho ee qulqulka.

Ha furin dhammaan socodka si aad u magdhabto gudbin uusan adeeggu qaadi karin. Beddelka qaanuunka ma hagaajin doono, wuuna ka badbaadi doonaa dhacdada.

Marka gudbintu aanay ku habboonayn

Haddii borotokoolka dibaddu ka baxsan yahay ururinta la taageeray, hagaajintu waa mid dhisme: dooro gudbin ay wadadu qaadi karto, ama u rar meesha bixista wax qaada waxa aad u baahan tahay. OpenVPN UDP, WireGuard UDP iyo tunelada ku salaysan TLS dhammaantood waxay ku habboon yihiin ururinta diiwaangashan. Shay NAT oo macmiilku maareeyo waa ikhtiyaarka marka borotokool gaar ah ay tahay inuu gudbo oo kharashka hawlgalka ee lagu maareeyo uu la aqbali karo.

Martigelinta server VPN gudaha ah waa dhibaato gooni ah oo leh jawaab gooni ah. Marinka NAT wuxuu bixiyaa turjumaad bixitaan mana bixiyo gudbin deked gudaha guud, sidaas darteed serverka ka dambeeya wuxuu u baahan yahay meeshiisa dadweyne ee la ansixiyay oo lagu naqshadeeyay shuruudiisa.

Nidaamka shaqada: magac dhawo borotokoolka dibadda, xaqiiji boodhka xiga, la barbardhig ururinta diiwaangashan, kadib beddel dhismaha ama gudbinta. Lambar deked oo kale ma beddeli karto GRE inuu noqdo TCP, qaanuun fasax oo kale ma beddeli karo is-weydaarsiga kontoroolka dhammaystiran inuu noqdo kanaal xogta shaqeeya.