0

AWS VPC サブネットに PPTP VPN サーバーを設定しました。ただし、同じサブネット (VPN サーバーとして) 内の他のホストに ping できません。一般的なネットワーク構成を見落としているのか、pptp / ppp 構成を見落としているのか、それとも AWS に特に関連するものを見落としているのかわかりません。

VPN サーバーは、パブリック EIP が関連付けられた VPC サブネット 172.16.0.0/24 で構成されています。クライアントから VPN 接続を確立すると、VPN サーバーの 172.16 インターフェイスに対して ping を実行できますが、それ以上のことはできません。

VPN サーバー IP: 172.16.0.235。VPN クライアント IP: 192.168.11.11 (vpn インターフェイス経由のルート 172.16.0.0/16 を使用)

vpnserver$ ping 172.16.0.200
64 bytes from 172.16.0.200
vpnclient$ ping 172.16.0.235
64 bytes from 172.16.0.235
vpnclient$ ping 172.16.0.200
timed out

172.16.0.0/24 サブネット上の他のホストでは、VPN サーバーにパケットが表示されますが、ICMP エコー要求パケットを取得しません。

vpnserver$ tcpdump -nn icmp
13:53:07.714010 IP 192.168.11.11 > 172.16.0.200: ICMP echo request, id 1, seq 1, length 40
172-16-0-200$ tcpdump -nn icmp
<no packet>

iptables を確認しました - ルールはなく、デフォルトのポリシーは ACCEPT です (フィルターおよび nat テーブル内のすべてのチェーンに対して)。転送が有効になっています:

vpnserver$ cat /proc/sys/net/ipv4/ip_forward
1
vpnserver$ route -n
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.16.0.1      0.0.0.0         UG    0      0        0 eth0
172.16.0.0      0.0.0.0         255.255.255.0   U     0      0        0 eth0
192.168.11.11   0.0.0.0         255.255.255.255 UH    0      0        0 pptp0

VPN サーバーとテスト ターゲット (172.16.0.200) の両方が含まれる、制限のない (すべてのトラフィックを許可する) AWS セキュリティ グループを構成しました。172.16.0.0/24 に使用される VPC ルート テーブルでルートを構成し、NAT なしで icmp エコー応答に必要な vpn サーバー経由でルーティングしましたが、エコー リクエストがホストに到達しません。

私が間違っていることについてのアイデアはありますか? ルーティングを許可するために ppp 構成に必要なものはありますか? ネットワーク構成に問題は見当たりません。vpnserver とパケットをブロックしている他のホストとの間で AWS が何かを行っている可能性があるのではないかと考えています。それともそれよりも簡単ですか？

4

1 に答える 1

0

AWS は、トラフィックをブロックしていたソース/宛先チェックを有効にしていました。

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_NAT_Instance.html#EIP_Disable_SrcDestCheck

各 EC2 インスタンスは、デフォルトでソース/宛先チェックを実行します。これは、インスタンスが送受信するすべてのトラフィックの送信元または送信先である必要があることを意味します。ただし、ソースまたは宛先がそれ自体でない場合、NAT インスタンスはトラフィックを送受信できる必要があります。したがって、NAT インスタンスでソース/宛先チェックを無効にする必要があります。

于 2014-07-17T10:50:50.763 に答える