كيف يلفّ اجتياز NAT حزم ESP داخل UDP

عميلان خلف الموجّه نفسه يتحدثان إلى بوابة IPsec واحدة، وأحدهما يظل يسقط بينما يبقى الآخر صامداً. بروتوكول ESP الأصلي هو بروتوكول IP رقم 50 بلا منافذ، لذا لا يملك المترجم ما يبني عليه خريطةً عندما يتشارك عدة عملاء عنواناً واحداً. يسدّ اجتياز NAT هذه الفجوة بلفّ ESP داخل UDP على 4500، وهذه الترويسة تفسّر معظم الأعراض التالية. ويشير أيضاً إلى الجهاز الذي يجب تغييره.

لماذا تنتقل طبقة البيانات إلى المنفذ 4500

أثناء الإعداد يقارن IKEv2 العناوين والمنافذ التي يظن كل طرف أنه يستخدمها، عبر تبادل التجزئات في إشعارات كشف NAT. وعندما تختلف التجزئات يكون هناك مترجم في مكان ما على المسار، فيحوّل الطرفان حركة المرور المحمية إلى تغليف UDP. ولذلك تبدو الجلسة التي واجهت مترجماً مختلفة عن جلسة لم تواجهه.

الغلاف مظروف، لا تغيير في البروتوكول: يحتفظ ESP بترويسته وفحص تكامله وتشفيره، ويوفّر UDP فقط المنافذ التي يحتاجها المترجم. يحمل المنفذ 500 تبادل IKE؛ ويحمل 4500 البيانات المُغلَّفة بعد الكشف، وغالباً رسائل IKE اللاحقة أيضاً. ولا يجعل أيّ من المنفذين التدفق اتصال TCP، وهو الافتراض الذي يضلّل معظم من يقرأ لقطة حزم.

افحص المرحلتين بالترتيب

أثبت تبادل التحكم أولاً، ثم مسار البيانات، وأبقِ الاثنين منفصلين في ملاحظاتك. اللقطة التي تُظهر حركة على 500 ولا تُظهرها أبداً على 4500 تعني عادةً أن مسار البيانات مُرشَّح، لذا يكون الإصلاح في قاعدة جدار الحماية لا في العميل.

راقب المنفذين معاً باستخدام tcpdump -ni any 'udp port 500 or udp port 4500'، واقرأ جدول الترجمة على الموجّه أثناء وجود جلسة حيّة. يُظهر ذلك الجدول منفذ المصدر الذي ستراه البوابة فعلاً، واللقطة على الحاسوب المحمول تختلف بالتصميم: الحاسوب يعتقد 500 بينما ترى البوابة 4500 بمنفذ مصدر مترجم، وكلاهما صحيح. التدفق نفسه، قبل الترجمة وبعدها:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

أعراض يفسّرها الغلاف، وعرضان لا يفسّرهما

موجّه يسمح بتبادل التحكم ويحجب البيانات المُغلَّفة يُنتج تقرير «النفق قائم ولا شيء يمر». تنتهي صلاحية جداول الخرائط، لذا تحتاج الجلسة الخاملة إلى حركة إبقاء يرسلها الطرفان عمداً، وتلك الحزم ليست فحوص صحة. وعندما تفشل عدة عملاء خلف بوابة واحدة معاً، افحص ترجمة تلك البوابة وأي ميزة تمرير قديمة. لا يفسّر الغلاف تطبيقاً يفشل لدى كل عميل بعد قيام النفق، ولا تحذير شهادة على صفحة حظر؛ فكلاهما يقع فوق هذه الطبقة.

اقرأ جدول الخرائط لعميلين في الوقت نفسه: إذا أظهر كلاهما منفذ الترجمة نفسه، فالجهاز لا يفصل بينهما بالطريقة التي تتطلبها البوابة. وضع التمرير الذي يمنح ESP الأصلي لمضيف واحد فقط لا يعادل خدمة عدة عملاء مترجمين، وإن كان البائعون يصفون الاثنين بأنهما ودودان مع IPsec. يضيف NAT المزدوج طبقة خرائط ونقطة انتهاء أخرى، لكنه لا يقطع الاتصالات الصادرة تلقائياً.

تستحق حركة الإبقاء سطراً خاصاً في دليل التشغيل، لأنها ما يبقي مسار الرد مفتوحاً خلال فترات الخمول. فعّلها حيث يوثّقها البائع، وافحصها أولاً عندما تنتهي جلسة بعد دقائق من الصمت لا عند أول استخدام.

غيّر مالك الخريطة، ثم أعد الاختبار

اتبع إعدادات اجتياز NAT المدعومة على الطرفين بدلاً من تخمين منفذ. تعديل منفذ المصدر المحلي على عميل واحد لا يمكنه تغيير الخدمة التي تستمع في الطرف الآخر، وغالباً يكسر الخريطة المبنية أصلاً. وإذا كان العميل خلف جهاز لا تتحكم فيه، فالتغيير يخص مالكه.

بعد أي تغيير، أعد فحص المرحلتين معاً وأكّد مرور حزمة بيانات، لا مجرد تحوّل شاشة الحالة إلى الأخضر. احفظ الأزواج ومخرجات جدول الخرائط وتغيير القاعدة في ملاحظة واحدة، حتى لا يبدأ الشخص التالي من تبادل التحكم. تغطي ملاحظات strongSwan حول اجتياز NAT إعدادات التغليف والإبقاء وراء المرحلتين.