Hoe IPsec NAT-traversal die ESP in UDP toedraai

Twee kliënte agter dieselfde roeteerder praat met een IPsec-portaal, en een bly val terwyl die ander aan die gang bly. Eie ESP is IP-protokol 50 sonder poorte, so 'n vertaler het niks om 'n kartering op te sleutel wanneer verskeie kliënte een adres deel nie. NAT-traversal sluit daardie gaping deur ESP op 4500 in UDP toe te draai, en daardie kopstuk verduidelik die meeste van die simptome wat volg. Dit wys ook na die toestel wat verander moet word.

Waarom die datavlak na poort 4500 skuif

Tydens die opstelling vergelyk IKEv2 die adresse en poorte wat elke kant dink hy gebruik, deur hashes in sy NAT-opsporingskennisgewings uit te ruil. Wanneer die hashes verskil, sit daar 'n vertaler iewers in die pad, en albei eweknieë skakel die beskermde verkeer oor na UDP-inkapseling. Dit is waarom 'n sessie wat 'n vertaler teëgekom het anders lyk as een wat dit nie gedoen het nie.

Die omhulsel is 'n koevert, nie 'n protokolverandering nie: ESP behou sy kopstuk, integriteitskontrole en versyfering, en UDP voorsien net die poorte wat die vertaler nodig het. Poort 500 dra die IKE-uitruiling; 4500 dra die ingekapselde data na opsporing, en dikwels ook die latere IKE-boodskappe. Nie een poort maak die vloei 'n TCP-verbinding nie, die aanname wat die meeste mense wat 'n opname lees mislei.

Kontroleer die twee fases in volgorde

Bewys eers die kontrole-uitruiling, dan die datapad, en hou die twee apart in jou notas. 'n Opname wat verkeer op 500 wys en nooit op 4500 nie, beteken gewoonlik die datapad word gefiltreer, so die regstelling hoort in die firewall-reël eerder as in die kliënt.

Dophou beide poorte met tcpdump -ni any 'udp port 500 or udp port 4500', en lees die vertaaltabel op die roeteerder terwyl 'n sessie lewendig is. Daardie tabel wys die bronpoort wat die poortwerker werklik sal sien, en 'n opname op die skootrekenaar stem by ontwerp nie ooreen nie: die skootrekenaar glo 500 terwyl die poortwerker 4500 met 'n vertaalde bronpoort sien, en albei is korrek. Dieselfde vloei, voor en na vertaling:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptome wat die omhulsel verduidelik, en twee wat dit nie doen nie

'n Roeteerder wat die kontrole-uitruiling toelaat en die ingekapselde data blokkeer lewer die verslag dat die tonnel op is maar niks deurgaan nie. Karteringstabelle verval, so 'n ledige sessie benodig lewendighoudverkeer wat die eweknieë doelbewus stuur, en daardie pakkette is nie gesondheidskontroles nie. Wanneer verskeie kliënte agter een poortwerker saam misluk, ondersoek daardie poortwerker se vertaling en enige ou deurlaatfunksie. Die omhulsel verduidelik nie 'n toepassing wat vir elke kliënt misluk nadat die tonnel op is nie, of 'n sertifikaatwaarskuwing op 'n blokkeerblad nie; albei lê bo hierdie laag.

Lees die karteringstabel vir twee kliënte gelyktydig: as albei dieselfde vertaalde poort wys, skei die toestel hulle nie soos die poortwerker vereis nie. 'n Deurlaatmodus wat eie ESP aan net een gasheer gee, is nie gelyk aan die bediening van verskeie vertaalde kliënte nie, hoewel verkopers albei as IPsec-vriendelik beskryf. Dubbele NAT voeg 'n karteringslaag en nog 'n vervalpunt by, maar dit breek nie outomaties uitgaande verbindings nie.

Lewendighoudverkeer verdien sy eie reël in die bedryfshandleiding, want dit is wat die antwoordpad deur stil periodes oop hou. Aktiveer dit waar die verskaffer dit dokumenteer, en kyk eerste daarna wanneer 'n sessie na minute van stilte sterf eerder as met die eerste gebruik.

Verander die eienaar van die kartering, en toets weer

Volg die ondersteunde NAT-traversal-instellings op albei eweknieë eerder as om na 'n poort te raai. Om die plaaslike bronpoort op een kliënt te wysig, kan nie die diens verander wat aan die ander kant luister nie, en dit breek gewoonlik die kartering wat reeds gebou is. As die kliënt agter 'n toestel sit wat jy nie beheer nie, hoort die verandering by sy eienaar.

Herhaal na enige verandering albei fasekontroles en bevestig dat 'n datapakket deurgaan, nie net dat die statusskerm groen geword het nie. Hou die tuple, die karteringstabel-uitvoer en die reëlverandering in een nota, sodat die volgende persoon nie weer by die kontrole-uitruiling begin nie. Die strongSwan NAT-traversal-notas dek die inkapseling- en lewendighoudinstellings agter albei fases.