Nega GRE va ESP AWS NAT shlyuzidan o'tmaydi

Tunnel ishlamaydi, xavfsizlik guruhi allaqachon barcha trafikka ruxsat beradi va xulosa AWS VPN ni bloklayotgani haqida chiqadi. U hech narsani bloklamaydi. Boshqariladigan NAT shlyuz tashqi protokollarning hujjatlashtirilgan to'plamini uzatadi va mahalliy GRE yoki mahalliy ESP unga kirmaydi, shuning uchun qo'shgan hech bir qoidangiz shlyuzni ularni o'tkazishga majburlamaydi. Ruxsat qoidasi va uzatish qobiliyati ikki xil narsa, va ulardan faqat bittasini siz o'zgartira olasiz.

Qoidalar to'plami protokollar to'plami emas

Xavfsizlik guruhi qaysi trafikka instansdan chiqishga ruxsat berilganini hal qiladi. NAT shlyuz nimani tarjima qilib, uzata olishini hal qiladi. Ikkinchi chegara amal qilganda, ruxsat beruvchi qoida odamlar noto'g'ri o'qib, xavfsizlik devori muammosi deb hisoblaydigan alomatni aynan yaratadi: paketlar instansdan chiqadi, boshqaruv almashinuvi hatto tugallanishi mumkin, va sherikka hech narsa yetib bormaydi.

AWS NAT shlyuz protokoli spetsifikatsiyasi boshqariladigan xizmat uchun TCP, UDP va ICMP ni sanab o'tadi. Bu butun qo'llab-quvvatlanadigan to'plam. Boshqa IP protokoli uchun ruxsat qoidasi uni kengaytira olmaydi, chunki qoida shlyuzning uzatish yo'liga yetib borishdan ancha oldin baholanadi.

Bu farq muhim, chunki ikkala nosozlik mijoz tomondan bir xil ko'rinadi va ularning tuzatishlari butunlay boshqacha.

PPTP port testi nega yolg'on gapirayotganini ko'rsatadi

PPTP hech narsani isbotlamaydigan port tekshiruvining eng yorqin eski namunasi. U 1723 portda TCP boshqaruv ulanishini ochadi va keyin tunnel ma'lumotlarini IP protokoli 47 bo'lgan GRE orqali uzatadi. 47 protokoli TCP 47 porti emas, va bu ikki raqamning bir-biriga aloqasi faqat raqamlarni bo'lishishdir.

1723 ga ulanishni sinab, tugallangan qo'l berib ko'rishishni ko'rgan operator yo'l ishlaydi deb xulosa qiladi. Keyin ma'lumot kanali birorta ham paketni o'tkazmaydi, chunki shlyuzda taklif qiladigan GRE qo'llab-quvvatlashi yo'q. Bu eski protokol talablarining izohi, yillar davomida eskirgan PPTP ni joylashtirish bo'yicha maslahat emas.

Xuddi shu mulohaza boshqaruv kanali TCP yoki UDP bo'lib, ma'lumot yo'li bunday bo'lmagan har qanday protokolga tegishli.

IPsec faqat UDP sifatida omon qoladi

IPsec javob qat'iy yo'q emas, shartli bo'lgan holdir. AWS NAT shlyuz orqali IPsec uchun NAT traverzalini qo'llab-quvvatlanadigan tartib sifatida hujjatlashtiradi. NAT-T kelishilganda ESP UDP ichiga qamrab olinadi va shlyuz 50 protokoli o'rniga oddiy UDP ko'radi.

UDP 4500 ga ruxsat berish oxirgi nuqtalarni NAT traverzalidan foydalanishga majburlamaydi. U paketlarga faqat ular allaqachon shunday shaklda bo'lsa ruxsat beradi. Mijozning o'z muzokara chiqishidan qaysi inkapsulyatsiya tanlanganini tasdiqlang va qabul qiluvchi tomonda sherik buni qabul qilganini tasdiqlang. Mahalliy ESP uchun sozlangan ikki oxirgi nuqta qoidalar to'plami nima desa ham mahalliy ESP yuborishda davom etadi.

TCP yoki UDP asosidagi VPN hujjatlashtirilgan uzatish to'plamiga mos keladi va baribir marshrutlash, filtrlash yoki autentifikatsiya sabablari bilan ishlamasligi mumkin. To'plamga mos kelish zarur, yetarli emas.

Siyosatni kengaytirishdan oldin yo'lni tekshiring

Ish yuklamasi quyi tarmog'ining haqiqiy marshrutini va uning keyingi sakrashining kimligini avval tasdiqlang. To'g'ridan-to'g'ri ommaviy yo'l, NAT instansi, boshqariladigan NAT shlyuz va tranzit shlyuz orqali xususiy yo'l to'rt xil dizayn, va ulardan faqat bittasi bu yerda tasvirlangan boshqariladigan xizmat.

Keyin sinangan oxirgi nuqtani, manzillar oilasini, tashqi protokolni va protokolda port bo'lsa, portni yozib oling. Muvaffaqiyatli brauzer so'rovi o'rniga mijoz diagnostikasi va tarmoq egasining oqim kuzatuvlaridan foydalaning, chunki u faqat TCP va UDP ishlashini isbotlaydi. Shundan so'ng, oqimning ikkala yo'nalishi uchun xavfsizlik guruhini, quyi tarmoq ACL ini, mehmon xavfsizlik devorini va xizmat siyosatini ko'rib chiqing.

Xizmat uzata olmaydigan uzatishni qoplash uchun barcha trafikni ochmang. Qoida o'zgarishi buni tuzatmaydi va u hodisadan keyin ham qoladi.

Uzatish to'g'ri kelmasa

Agar tashqi protokol qo'llab-quvvatlanadigan to'plamdan tashqarida bo'lsa, tuzatish me'moriy: yo'l uzata oladigan uzatishni tanlang yoki chiqishni sizga kerakli narsani uzatadigan narsaga ko'chiring. OpenVPN UDP orqali, WireGuard UDP orqali va TLS asosidagi tunnellar barchasi hujjatlashtirilgan to'plamga mos keladi. Muayyan protokol o'tishi shart bo'lsa va uni yuritishning operatsion xarajati maqbul bo'lsa, mijoz tomonidan boshqariladigan NAT instansi variant hisoblanadi.

Kiruvchi VPN serverini xosting qilish alohida javobga ega alohida muammo. NAT shlyuz chiquvchi tarjimani taqdim etadi va umumiy kiruvchi port yo'naltirishini bermaydi, shuning uchun uning orqasidagi server o'z shartlarida loyihalashtirilgan tasdiqlangan ommaviy kirishga muhtoj.

Ish tartibi: tashqi protokolni nomlang, keyingi sakrashni tasdiqlang, hujjatlashtirilgan to'plam bilan solishtiring, so'ngra me'moriy yoki uzatishni o'zgartiring. Boshqa port raqami GRE ni TCP ga aylantira olmaydi, va yana bir ruxsat beruvchi qoida tugallangan boshqaruv almashinuvini ishlaydigan ma'lumot kanaliga aylantira olmaydi.