AWS NAT நுழைவாயில் வழியாக GRE மற்றும் ESP ஏன் தோல்வியடைகின்றன

சுரங்கப்பாதை தோல்வியடைகிறது, பாதுகாப்பு குழு ஏற்கனவே அனைத்து போக்குவரத்தையும் அனுமதிக்கிறது, மேலும் AWS VPN ஐ தடுக்கிறது என்ற முடிவுக்கு வரப்படுகிறது. அது எதையும் தடுக்கவில்லை. நிர்வகிக்கப்படும் NAT நுழைவாயில் ஆவணப்படுத்தப்பட்ட வெளிப்புற நெறிமுறைகளின் தொகுப்பை அனுப்புகிறது, மேலும் சொந்த GRE அல்லது சொந்த ESP அதில் இல்லை, எனவே நீங்கள் சேர்க்கும் எந்த விதியும் நுழைவாயிலை அவற்றை எடுத்துச் செல்ல வைக்காது. அனுமதி விதியும் போக்குவரத்துத் திறனும் இரண்டு வெவ்வேறு விஷயங்கள், அவற்றில் ஒன்றை மட்டுமே நீங்கள் மாற்ற முடியும்.

விதித் தொகுப்பு நெறிமுறைத் தொகுப்பு அல்ல

பாதுகாப்பு குழு எந்த போக்குவரத்து நிகழ்வை விட்டு வெளியேற அனுமதிக்கப்படுகிறது என்பதை தீர்மானிக்கிறது. NAT நுழைவாயில் எதை மொழிபெயர்த்து அனுப்ப முடியும் என்பதை தீர்மானிக்கிறது. இரண்டாவது வரம்பு பொருந்தும்போது, அனுமதிக்கும் விதி மக்கள் தீவன் சுவர் சிக்கல் என தவறாக படிக்கும் அறிகுறியையே உருவாக்குகிறது: பொதிகள் நிகழ்வை விட்டு வெளியேறுகின்றன, கட்டுப்பாட்டு பரிமாற்றம் முழுமையாகவும் ஆகலாம், எதுவும் சகாவை அடையவில்லை.

AWS இன் NAT நுழைவாயில் நெறிமுறை விவரக்குறிப்பு நிர்வகிக்கப்படும் சேவைக்கு TCP, UDP மற்றும் ICMP ஐ பட்டியலிடுகிறது. அதுவே முழு ஆதரவு தொகுப்பு. வேறு IP நெறிமுறைக்கான அனுமதி விதி அதை விரிவாக்க முடியாது, ஏனெனில் விதி நுழைவாயிலின் அனுப்பும் பாதையை அடைவதற்கு மிக நேரத்திற்கு முன்பே மதிப்பிடப்படுகிறது.

இந்த வேறுபாடு முக்கியம், ஏனெனில் இரண்டு தோல்விகளும் வாடிக்கையாளர் பக்கத்தில் ஒரே மாதிரி தெரிகின்றன, அவற்றின் தீர்வுகள் முற்றிலும் வேறுபட்டவை.

PPTP துறை சோதனை ஏன் பொய் சொல்கிறது என்பதைக் காட்டுகிறது

எதையும் நிரூபிக்காத துறை சரிபார்ப்பின் மிகத் தெளிவான பழைய எடுத்துக்காட்டு PPTP. இது 1723 துறையில் TCP கட்டுப்பாட்டு இணைப்பைத் திறந்து பின்னர் சுரங்கப்பாதை தரவை GRE வழியாக எடுத்துச் செல்கிறது, அது IP நெறிமுறை 47. நெறிமுறை 47 TCP துறை 47 அல்ல, இந்த இரண்டு எண்களுக்கும் இலக்கங்களைப் பகிர்வதைத் தவிர வேறு தொடர்பு இல்லை.

1723 க்கு இணைப்பைச் சோதித்து முழுமையான கைக்குலுக்கலைக் காணும் இயக்குபவர் பாதை வேலை செய்கிறது என்று முடிவு செய்கிறார். பின்னர் தரவு சேனல் ஒரு பொதியும் கடக்கவில்லை, ஏனெனில் நுழைவாயிலிடம் வழங்க GRE ஆதரவு இல்லை. இது பழைய நெறிமுறையின் தேவைகளின் விளக்கம், பல ஆண்டுகளாக வழக்கொழிந்த PPTP ஐ பயன்படுத்த பரிந்துரை அல்ல.

கட்டுப்பாட்டு சேனல் TCP அல்லது UDP ஆகவும் தரவு பாதை அப்படி இல்லாத எந்த நெறிமுறைக்கும் இதே தர்க்கம் பொருந்தும்.

IPsec UDP ஆக மட்டுமே தப்பிப்பிழைக்கிறது

IPsec என்பது பதில் நேரடி இல்லை அல்ல, நிபந்தனைக்குட்பட்டது. NAT நுழைவாயில் வழியாக IPsec க்கு NAT கடத்தலை AWS ஆதரவு பெற்ற ஏற்பாடாக ஆவணப்படுத்துகிறது. NAT-T பேச்சுவார்த்தைக்குப் பிறகு ESP UDP உள்ளே உறையிடப்படுகிறது, நுழைவாயில் நெறிமுறை 50 க்கு பதிலாக சாதாரண UDP ஐக் காண்கிறது.

UDP 4500 ஐ அனுமதிப்பது முனைப்புள்ளிகள் NAT கடத்தலைப் பயன்படுத்த வைக்காது. பொதிகள் ஏற்கனவே அந்த வடிவத்தில் இருந்தால் மட்டுமே அனுமதிக்கிறது. வாடிக்கையாளரின் சொந்த பேச்சுவார்த்தை வெளியீட்டில் எந்த உறையிடல் தேர்ந்தெடுக்கப்பட்டது என்பதை உறுதிப்படுத்தி, பெறும் பக்கத்தில் சகா அதை ஏற்றுக்கொண்டதை உறுதிப்படுத்தவும். சொந்த ESP க்கு அமைக்கப்பட்ட இரண்டு முனைப்புள்ளிகள் விதித் தொகுப்பு என்ன சொன்னாலும் சொந்த ESP ஐ அனுப்புவதைத் தொடரும்.

TCP அல்லது UDP அடிப்படையிலான VPN ஆவணப்படுத்தப்பட்ட போக்குவரத்துத் தொகுப்பில் பொருந்துகிறது, இருப்பினும் வழித்தடம், வடிகட்டல் அல்லது அங்கீகாரம் காரணமாக தோல்வியடையலாம். தொகுப்பில் பொருந்துவது அவசியம், போதுமானது அல்ல.

கொள்கையை விரிவாக்கும் முன் பாதையைச் சரிபார்க்கவும்

பணிச்சுமை துணை வலையமைப்பின் உண்மையான வழித்தடத்தையும் அதன் அடுத்த தாவலின் அடையாளத்தையும் முதலில் சரிபார்க்கவும். நேரடி பொது பாதை, NAT நிகழ்வு, நிர்வகிக்கப்படும் NAT நுழைவாயில் மற்றும் போக்குவரத்து நுழைவாயில் வழியாக தனியார் பாதை ஆகியவை நான்கு வெவ்வேறு வடிவமைப்புகள், அவற்றில் ஒன்று மட்டுமே இங்கு விவரிக்கப்பட்ட நிர்வகிக்கப்படும் சேவை.

பின்னர் முயற்சிக்கப்பட்ட முனைப்புள்ளி, முகவரி குடும்பம், வெளிப்புற நெறிமுறை மற்றும் நெறிமுறைக்கு துறை இருந்தால் அந்த துறையைப் பதிவு செய்யவும். வெற்றிகரமான உலாவி கோரிக்கைக்கு பதிலாக வாடிக்கையாளரின் கண்டறிதல் மற்றும் வலையமைப்பு உரிமையாளரின் ஓட்ட கவனிப்புகளைப் பயன்படுத்தவும், ஏனெனில் அது TCP மற்றும் UDP வேலை செய்கின்றன என்பதை மட்டுமே நிரூபிக்கிறது. அதன் பிறகு, ஓட்டத்தின் இரு திசைகளுக்கும் பாதுகாப்பு குழு, துணை வலையமைப்பு ACL, விருந்தினர் தீவன் சுவர் மற்றும் சேவைக் கொள்கையை மதிப்பாய்வு செய்யவும்.

சேவை எடுத்துச் செல்ல முடியாத போக்குவரத்தை ஈடுசெய்ய அனைத்து போக்குவரத்தையும் திறக்க வேண்டாம். விதி மாற்றம் அதை சரிசெய்யாது, அது சம்பவத்திற்குப் பிறகும் நீடிக்கும்.

போக்குவரத்து பொருந்தாதபோது

வெளிப்புற நெறிமுறை ஆதரவு தொகுப்புக்கு வெளியே இருந்தால், தீர்வு கட்டமைப்பு ரீதியானது: பாதை எடுத்துச் செல்லக்கூடிய போக்குவரத்தைத் தேர்ந்தெடுக்கவும், அல்லது உங்களுக்குத் தேவையானதை எடுத்துச் செல்லும் ஒன்றுக்கு வெளியேற்றத்தை நகர்த்தவும். OpenVPN UDP மேல், WireGuard UDP மேல் மற்றும் TLS அடிப்படையிலான சுரங்கப்பாதைகள் அனைத்தும் ஆவணப்படுத்தப்பட்ட தொகுப்பில் பொருந்துகின்றன. ஒரு குறிப்பிட்ட நெறிமுறை கடக்க வேண்டும் மற்றும் அதை இயக்கும் இயக்கச் செலவு ஏற்றுக்கொள்ளத்தக்கதாக இருக்கும்போது வாடிக்கையாளர் நிர்வகிக்கும் NAT நிகழ்வு ஒரு விருப்பம்.

உள்வரும் VPN சேவையகத்தை வழங்குவது தனி பதிலுடன் கூடிய தனி சிக்கல். NAT நுழைவாயில் வெளியேறும் மொழிபெயர்ப்பை வழங்குகிறது, பொதுவான உள்வரும் துறை அனுப்பலை வழங்காது, எனவே அதன் பின்னால் உள்ள சேவையகத்திற்கு அதன் சொந்த நிபந்தனைகளில் வடிவமைக்கப்பட்ட அங்கீகரிக்கப்பட்ட பொது நுழைவு தேவை.

வேலை வரிசை: வெளிப்புற நெறிமுறையை பெயரிடுங்கள், அடுத்த தாவலை உறுதிப்படுத்துங்கள், ஆவணப்படுத்தப்பட்ட தொகுப்புடன் ஒப்பிடுங்கள், பின்னர் கட்டமைப்பு அல்லது போக்குவரத்தை மாற்றுங்கள். வேறு துறை எண் GRE ஐ TCP ஆக்க முடியாது, மேலும் ஒரு அனுமதிக்கும் விதி முழுமையான கட்டுப்பாட்டு பரிமாற்றத்தை வேலை செய்யும் தரவு சேனலாக மாற்ற முடியாது.