GRE ve ESP neden bir AWS NAT ağ geçidinden geçemez

Tünel başarısız olur, güvenlik grubu zaten tüm trafiğe izin verir ve sonuç AWS'nin VPN'i engellediğidir. Hiçbir şeyi engellemiyor. Yönetilen bir NAT ağ geçidi, belgelenmiş bir dış protokol kümesini iletir ve yerel GRE veya yerel ESP bunun içinde değildir, bu nedenle eklediğiniz hiçbir kural ağ geçidinin bunları taşımasını sağlamaz. İzin kuralı ile taşıma yeteneği iki farklı şeydir ve bunlardan yalnızca birini değiştirebilirsiniz.

Kural kümesi protokol kümesi değildir

Bir güvenlik grubu hangi trafiğin örnekten çıkmasına izin verildiğine karar verir. NAT ağ geçidi neyi çevirebileceğine ve iletebileceğine karar verir. İkinci sınır geçerli olduğunda, izin verici bir kural insanların yanlışlıkla güvenlik duvarı sorunu olarak okuduğu belirtiyi tam olarak üretir: paketler örnekten çıkar, denetim alışverişi hatta tamamlanabilir ve karşı tarafa hiçbir şey ulaşmaz.

AWS'nin NAT ağ geçidi protokol belirtimi yönetilen hizmet için TCP, UDP ve ICMP'yi listeler. Desteklenen kümenin tamamı budur. Başka bir IP protokolü için izin kuralı bunu genişletemez, çünkü kural ağ geçidinin iletme yoluna ulaşılmadan çok önce değerlendirilir.

Bu ayrım önemlidir çünkü iki arıza istemci tarafından aynı görünür ve tamamen farklı düzeltmeleri vardır.

PPTP bir bağlantı noktası testinin neden yalan söylediğini gösterir

PPTP hiçbir şeyi kanıtlamayan bağlantı noktası denetiminin en açık eski örneğidir. 1723 bağlantı noktasında bir TCP denetim bağlantısı açar ve ardından tünel verilerini IP protokolü 47 olan GRE üzerinden taşır. Protokol 47, TCP bağlantı noktası 47 değildir ve bu iki sayının rakam paylaşmaktan başka bir ilgisi yoktur.

1723'e bağlantıyı test eden ve tamamlanmış bir el sıkışma gören operatör yolun çalıştığı sonucuna varır. Ardından veri kanalı tek bir paket bile geçirmez, çünkü ağ geçidinin sunacak GRE desteği yoktur. Bu, eski bir protokolün gereksinimlerinin yorumudur, yıllardır kullanımdan kalkmış PPTP'yi dağıtma tavsiyesi değildir.

Aynı akıl yürütme, denetim kanalı TCP veya UDP olup veri yolu öyle olmayan her protokol için geçerlidir.

IPsec yalnızca UDP olarak hayatta kalır

IPsec, yanıtın düz bir hayır değil koşullu olduğu durumdur. AWS, NAT ağ geçidi üzerinden IPsec için NAT geçişini desteklenen düzenleme olarak belgeler. NAT-T üzerinde anlaşıldığında ESP UDP içine kapsüllenir ve ağ geçidi protokol 50 yerine sıradan UDP görür.

UDP 4500'e izin vermek uç noktaların NAT geçişini kullanmasını sağlamaz. Yalnızca paketler zaten bu biçimdeyse izin verir. İstemcinin kendi görüşme çıktısından hangi kapsüllemenin seçildiğini doğrulayın ve alıcı tarafta karşı tarafın bunu kabul ettiğini doğrulayın. Yerel ESP için yapılandırılmış iki uç nokta, kural kümesi ne derse desin yerel ESP göndermeye devam eder.

TCP veya UDP tabanlı bir VPN belgelenmiş taşıma kümesine uyar ve yine de yönlendirme, filtreleme veya kimlik doğrulama nedenleriyle başarısız olabilir. Kümeye uymak gereklidir, yeterli değildir.

Politikayı genişletmeden önce yolu denetleyin

İş yükü alt ağının gerçek rotasını ve bir sonraki atlamasının kimliğini önce doğrulayın. Doğrudan genel yol, bir NAT örneği, yönetilen bir NAT ağ geçidi ve bir geçiş ağ geçidi üzerinden özel yol dört farklı tasarımdır ve bunlardan yalnızca biri burada açıklanan yönetilen hizmettir.

Ardından denenen uç noktayı, adres ailesini, dış protokolü ve protokolün bağlantı noktası varsa o bağlantı noktasını kaydedin. Başarılı bir tarayıcı isteği yerine istemcinin tanılamasını ve ağ sahibinin akış gözlemlerini kullanın, çünkü bu yalnızca TCP ve UDP'nin çalıştığını kanıtlar. Bundan sonra güvenlik grubunu, alt ağ ACL'sini, konuk güvenlik duvarını ve hizmet politikasını akışın her iki yönü için gözden geçirin.

Hizmetin taşıyamadığı bir taşımayı telafi etmek için tüm trafiği açmayın. Kural değişikliği bunu düzeltmeyecek ve olaydan sonra da kalacaktır.

Taşıma uymadığında

Dış protokol desteklenen kümenin dışındaysa düzeltme mimaridir: yolun taşıyabileceği bir taşıma seçin veya çıkışı ihtiyacınız olanı taşıyan bir şeye taşıyın. OpenVPN UDP üzerinden, WireGuard UDP üzerinden ve TLS tabanlı tünellerin tümü belgelenmiş kümeye uyar. Belirli bir protokolün geçmesi gerektiğinde ve çalıştırmanın işletme maliyeti kabul edilebilir olduğunda müşteri tarafından yönetilen bir NAT örneği seçenektir.

Gelen bir VPN sunucusunu barındırmak ayrı bir yanıtı olan ayrı bir sorundur. Bir NAT ağ geçidi giden çeviri sağlar ve genel gelen bağlantı noktası yönlendirmesi sağlamaz, bu nedenle arkasındaki bir sunucunun kendi koşullarında tasarlanmış onaylı genel girişine ihtiyacı vardır.

İş sırası: dış protokolü adlandırın, bir sonraki atlamayı doğrulayın, belgelenmiş kümeyle karşılaştırın ve ardından mimariyi veya taşımayı değiştirin. Farklı bir bağlantı noktası numarası GRE'yi TCP yapamaz ve bir izin verici kural daha tamamlanmış bir denetim alışverişini çalışan bir veri kanalına dönüştüremez.