IPsec NAT keçidi ESP-ni UDP daxilində necə bükür

Eyni marşrutlaşdırıcının arxasındakı iki müştəri bir IPsec şlüzü ilə danışır və biri düşməyə davam edərkən digəri işlək qalır. Doğma ESP portsuz IP protokolu 50-dir, buna görə bir neçə müştəri bir ünvanı paylaşdıqda tərcüməçinin xəritələmə üçün dayaq götürəcəyi heç nə yoxdur. NAT keçidi ESP-ni 4500 üzərində UDP daxilinə bükməklə bu boşluğu bağlayır və həmin başlıq sonrakı simptomların çoxunu izah edir. O, həm də dəyişdirilməli cihazı göstərir.

Məlumat müstəvisi niyə 4500 portuna keçir

Quraşdırma zamanı IKEv2 hər tərəfin istifadə etdiyini düşündüyü ünvanları və portları NAT aşkarlama bildirişlərində heşləri mübadilə edərək müqayisə edir. Heşlər uyğun gəlmədikdə yolun hansısa yerində tərcüməçi dayanır və hər iki həmkar qorunan trafiki UDP bükülməsinə keçirir. Buna görə tərcüməçi ilə qarşılaşmış sessiya onunla qarşılaşmamış sessiyadan fərqli görünür.

Büküm zərfdir, protokol dəyişikliyi deyil: ESP başlığını, bütövlük yoxlamasını və şifrələməsini saxlayır, UDP isə yalnız tərcüməçinin ehtiyac duyduğu portları təmin edir. 500 portu IKE mübadiləsini daşıyır; 4500 isə aşkarlamadan sonra bükülmüş məlumatı və çox vaxt sonrakı IKE mesajlarını da daşıyır. Heç bir port axını TCP bağlantısı etmir; bu, tutumu oxuyan çox adamı yanıldan fərziyyədir.

İki mərhələni ardıcıl yoxlayın

Əvvəlcə nəzarət mübadiləsini, sonra məlumat yolunu sübut edin və ikisini qeydlərinizdə ayrı saxlayın. 500-də trafik göstərib 4500-də heç vaxt göstərməyən tutum adətən məlumat yolunun süzgəcdən keçirildiyini bildirir, buna görə düzəliş müştəridə deyil, firewall qaydasında olmalıdır.

Hər iki portu tcpdump -ni any 'udp port 500 or udp port 4500' ilə izləyin və sessiya canlı ikən marşrutlaşdırıcıdakı tərcümə cədvəlini oxuyun. Bu cədvəl şlüzün həqiqətən görəcəyi mənbə portunu göstərir və noutbukdakı tutum dizaynca fərqlənir: noutbuk 500 olduğunu düşünür, şlüz isə tərcümə edilmiş mənbə portu ilə 4500 görür və hər ikisi doğrudur. Eyni axın, tərcümədən əvvəl və sonra:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Bükümün izah etdiyi simptomlar və etmədiyi iki hal

Nəzarət mübadiləsinə icazə verib bükülmüş məlumatı bloklayan marşrutlaşdırıcı «tunel qalxıb, heç nə keçmir» hesabatını yaradır. Xəritə cədvəllərinin müddəti bitir, buna görə boş sessiya həmkarların qəsdən göndərdiyi canlılıq trafikinə ehtiyac duyur və bu paketlər sağlamlıq yoxlaması deyil. Bir şlüzün arxasındakı bir neçə müştəri birlikdə uğursuz olarsa, həmin şlüzün tərcüməsini və hər hansı köhnə ötürmə funksiyasını araşdırın. Büküm tunel qalxdıqdan sonra hər müştəridə uğursuz olan tətbiqi və ya blok səhifəsindəki sertifikat xəbərdarlığını izah etmir; hər ikisi bu qatdan yuxarıdadır.

Xəritə cədvəlini eyni anda iki müştəri üçün oxuyun: əgər hər ikisi eyni tərcümə portunu göstərirsə, cihaz onları şlüzün tələb etdiyi şəkildə ayırmır. Doğma ESP-ni yalnız bir hosta verən ötürmə rejimi bir neçə tərcümə olunmuş müştəriyə xidmət etməklə eyni deyil, baxmayaraq ki, satıcılar hər ikisini IPsec ilə dost kimi təsvir edir. İkiqat NAT xəritələmə qatı və daha bir bitmə nöqtəsi əlavə edir, lakin gedən bağlantıları avtomatik pozmur.

Canlılıq trafiki əməliyyat təlimatında öz sətrinə layiqdir, çünki cavab yolunu boş dövrlər boyu açıq saxlayan məhz odur. Onu satıcının sənədləşdirdiyi yerdə aktivləşdirin və sessiya ilk istifadədə deyil, bir neçə dəqiqəlik sükutdan sonra ölərsə, ilk növbədə ona baxın.

Xəritənin sahibini dəyişin, sonra yenidən sınaqdan keçirin

Portu təxmin etmək əvəzinə hər iki həmkar üzərində dəstəklənən NAT keçidi parametrlərinə əməl edin. Bir müştəridə yerli mənbə portunu redaktə etmək qarşı tərəfdə dinləyən xidməti dəyişə bilməz və adətən artıq qurulmuş xəritəni pozur. Müştəri nəzarət etmədiyiniz cihazın arxasındadırsa, dəyişiklik onun sahibinə aiddir.

Hər hansı dəyişiklikdən sonra hər iki mərhələ yoxlamasını təkrarlayın və yalnız status ekranının yaşıl olmasını deyil, məlumat paketinin keçdiyini təsdiqləyin. Kortezləri, xəritə cədvəlinin çıxışını və qayda dəyişikliyini bir qeyddə saxlayın ki, növbəti adam nəzarət mübadiləsindən yenidən başlamasın. strongSwan NAT keçidi qeydləri hər iki mərhələnin arxasındakı bükmə və canlılıq parametrlərini əhatə edir.