Kí ni ìdí tí GRE àti ESP fi kùnà láti inú NAT gateway AWS

Tunnel kùnà, ẹgbẹ́ ààbò ti gbà gbogbo ìtàkùn-ìsọ̀rọ̀ lọ́wọ́, àti ìparí ni pé AWS ń dínà VPN. Kò dínà ohunkóhun. NAT gateway tí a ń ṣàkóso ń gbé àkójọ àwọn protocol ìta tí a kọ sílẹ̀ kọjá, àti GRE ìbílẹ̀ tàbí ESP ìbílẹ̀ kò sí nínú rẹ̀, nítorí náà kò sí òfin tí o bá fi kún tí yóò mú gateway gbé wọn. Òfin ìyọ̀ǹda àti agbára gbígbé jẹ́ ohun méjì tí ó yàtọ̀, àti pé ọ̀kan nínú wọn nìkan ni ó wà ní ọwọ́ rẹ láti yí padà.

Àkójọ àwọn òfin kì í ṣe àkójọ àwọn protocol

Ẹgbẹ́ ààbò ń pinnu ìtàkùn-ìsọ̀rọ̀ wo ni a gbà láàyè láti jáde kúrò nínú instance. NAT gateway ń pinnu ohun tí ó lè túmọ̀ àti fi kọjá. Nígbà tí ìdíwọ́ kejì bá wà, òfin tí ń gbà láàyè ń mú àmì kan náà jáde tí àwọn ènìyàn ń kà ní àṣìlóde bí ìṣòro firewall: àwọn packet ń jáde kúrò nínú instance, ìpààrọ̀ ìṣàkóso tilẹ̀ lè parí, kò sì sí ohun tí ó dé ọ̀dọ̀ ẹlẹ́gbẹ́.

Àkọsílẹ̀ protocol NAT gateway ti AWS ṣe àkójọ TCP, UDP àti ICMP fún iṣẹ́ tí a ń ṣàkóso. Ìyẹn ni gbogbo àkójọ tí a ń ṣe àtìlẹ́yìn fún. Òfin ìyọ̀ǹda fún protocol IP mìíràn kò lè fẹ̀ sí i, nítorí pé a ń ṣàyẹ̀wò òfin náà pẹ́ tó bó ṣe dé ọ̀nà gbígbé gateway.

Ìyàtọ̀ yìí ṣe pàtàkì nítorí àwọn ìkùnà méjì náà dàbí ara wọn láti ẹ̀gbẹ́ alábàárà, wọ́n sì ní àtúnṣe tí ó yàtọ̀ pátápátá.

PPTP fi hàn ìdí tí ìdánwò port fi ń purọ́

PPTP ni àpẹẹrẹ àtijọ́ tí ó ṣe kedere jùlọ fún àyẹ̀wò port tí kò fi ohunkóhun hàn. Ó ṣí ìsopọ̀ ìṣàkóso TCP lórí port 1723, lẹ́yìn náà ó gbé data tunnel kọjá lórí GRE, èyí tí ó jẹ́ protocol IP 47. Protocol 47 kì í ṣe port TCP 47, àwọn nọ́mbà méjì yìí kò sì ní ìbáṣepọ̀ kankan yàtọ̀ sí pínpín àwọn nọ́mbà.

Olùṣiṣẹ́ tí ó dán ìsopọ̀ mọ́ 1723 wò tí ó sì rí ìfọwọ́sowọ́pọ̀ tí ó parí yóò parí pé ọ̀nà náà ń ṣiṣẹ́. Lẹ́yìn náà channel data kò ní gbé packet kan kọjá rárá, nítorí gateway kò ní àtìlẹ́yìn GRE láti fi pèsè. Èyí jẹ́ ìtumọ̀ àwọn àìní protocol àtijọ́, kì í ṣe ìmọ̀ràn láti fi PPTP ṣiṣẹ́, èyí tí ó ti di àtijọ́ fún ọ̀pọ̀ ọdún.

Ìrònú kan náà kan gbogbo protocol tí channel ìṣàkóso rẹ̀ jẹ́ TCP tàbí UDP nígbà tí ọ̀nà data rẹ̀ kì í ṣe bẹ́ẹ̀.

IPsec ń yè nìkan bí UDP

IPsec ni ìṣẹ̀lẹ̀ tí ìdáhùn jẹ́ oní àídájú dípò rárá gbígbé. AWS ṣe àkọsílẹ̀ NAT traversal gẹ́gẹ́ bí ètò tí a ń ṣe àtìlẹ́yìn fún IPsec nípasẹ̀ NAT gateway. Nígbà tí a bá pinnu NAT-T, a ń fi ESP sínú UDP, gateway sì ń rí UDP lasan dípò protocol 50.

Gbígba UDP 4500 láàyè kò mú kí àwọn endpoint lo NAT traversal. Ó ń gba àwọn packet láàyè nìkan bí wọ́n bá ti ní irú ọ̀nà yẹn. Fi ìdánilójú láti inú ìjáde ìfọ̀rọ̀wánilẹ́nuwò alábàárà fúnra rẹ̀ irú encapsulation tí a yàn, kí o sì fi ìdánilójú ní ẹ̀gbẹ́ gbígbà pé ẹlẹ́gbẹ́ ti gbà á. Àwọn endpoint méjì tí a ṣètò fún ESP ìbílẹ̀ yóò máa tẹ̀síwájú láti fi ESP ìbílẹ̀ ránṣẹ́, ohunkóhun tí àkójọ òfin bá sọ.

VPN tí ó dá lórí TCP tàbí UDP bá àkójọ gbígbé tí a kọ sílẹ̀ mu, ó sì ṣì lè kùnà nítorí ọ̀nà, ìṣẹ́, tàbí ìjẹ́rìí. Bíbá àkójọ mu ṣe pàtàkì, kò tó.

Ṣàyẹ̀wò ọ̀nà náà kí o tó fẹ̀ ìlànà

Fi ìdánilójú ọ̀nà gidi ti subnet ẹrù iṣẹ́ àti ìdánimọ̀ ìtẹ̀lékejì rẹ̀ ní àkọ́kọ́. Ọ̀nà gbangba tààrà, instance NAT, NAT gateway tí a ń ṣàkóso àti ọ̀nà àdáni nípasẹ̀ transit gateway jẹ́ àwọn apẹrẹ mẹ́rin tí ó yàtọ̀, ọ̀kan nínú wọn nìkan ni iṣẹ́ tí a ń ṣàkóso tí a ṣàlàyé níbí.

Lẹ́yìn náà kọ àkọsílẹ̀ endpoint tí a gbìyànjú, ìdílé àdírẹ́sì, protocol ìta àti port níbà tí protocol bá ní ọ̀kan. Lo àyẹ̀wò alábàárà àti àkíyèsí ṣíṣàn onílé nẹ́tíwọ́kì dípò ìbéèrè browser tí ó ṣàṣeyọrí, èyí tí ó ń fi kì í ṣe pé TCP àti UDP ń ṣiṣẹ́ nìkan hàn. Lẹ́yìn èyí, ṣàyẹ̀wò ẹgbẹ́ ààbò, ACL subnet, firewall àlejò àti ìlànà iṣẹ́ fún àwọn ìtọ́sọ́nà méjì ti ṣíṣàn.

Má ṣí gbogbo ìtàkùn-ìsọ̀rọ̀ láti èsan fún gbígbé tí iṣẹ́ kò lè gbé. Ìyípadà òfin kò ní tún un ṣe, yóò sì wà lẹ́yìn ìṣẹ̀lẹ̀.

Nígbà tí gbígbé kò bá ba mu

Bí protocol ìta bá wà ní ìta àkójọ tí a ń ṣe àtìlẹ́yìn fún, àtúnṣe jẹ́ ti ìmọ̀ ẹ̀rọ: yan gbígbé tí ọ̀nà lè gbé, tàbí gbé jáde sí ohun tí ó ń gbé ohun tí o nílò. OpenVPN lórí UDP, WireGuard lórí UDP àti àwọn tunnel tí ó dá lórí TLS gbogbo wọn bá àkójọ tí a kọ sílẹ̀ mu. Instance NAT tí alábàárà ń ṣàkóso ni àṣàyàn nígbà tí protocol kan pàtó gbọdọ̀ kọjá tí iye ìnáwó iṣẹ́ rẹ̀ sì jẹ́ ìtẹ́wọ́gbà.

Gbígbàléjò server VPN tí ń wọlé jẹ́ ìṣòro ọ̀tọ̀ pẹ̀lú ìdáhùn ọ̀tọ̀. NAT gateway ń pèsè ìtumọ̀ jáde kò sì pèsè gbígbé port tí ń wọlé lápapọ̀, nítorí náà server tí ó wà lẹ́yìn rẹ̀ nílò ẹnu-ọ̀nà gbangba tí a fọwọ́ sí tí a ṣe àpẹẹrẹ ní àwọn ipò tirẹ̀.

Ìtò iṣẹ́: dárúkọ protocol ìta, fi ìdánilójú ìtẹ̀lékejì, fi wé àkójọ tí a kọ sílẹ̀, lẹ́yìn náà yí ìmọ̀ ẹ̀rọ tàbí gbígbé padà. Nọ́mbà port mìíràn kò lè yí GRE padà sí TCP, òfin ìyọ̀ǹda mìíràn kò sì lè yí ìpààrọ̀ ìṣàkóso tí ó parí padà sí channel data tí ń ṣiṣẹ́.