Sut mae tramwy NAT yn lapio ESP y tu mewn i UDP

Mae dau gleient y tu ôl i'r un llwybrydd yn siarad ag un porth IPsec, ac mae un yn dal i ollwng tra bo'r llall yn parhau ar waith. Protocol IP 50 yw ESP brodorol heb borthladdoedd, felly nid oes gan gyfieithydd unrhyw beth i allweddu mapio arno pan fydd sawl cleient yn rhannu un cyfeiriad. Mae tramwy NAT yn cau'r bwlch hwnnw trwy lapio ESP mewn UDP ar 4500, ac mae'r pennawd hwnnw'n esbonio'r rhan fwyaf o'r symptomau sy'n dilyn. Mae hefyd yn pwyntio at y ddyfais i'w newid.

Pam mae'r plân data yn symud i borthladd 4500

Yn ystod y gosodiad mae IKEv2 yn cymharu'r cyfeiriadau a'r porthladdoedd y mae pob ochr yn credu ei bod yn eu defnyddio, trwy gyfnewid hashes yn ei hysbysiadau canfod NAT. Pan fydd y hashes yn anghytuno, mae cyfieithydd yn rhywle ar y llwybr, ac mae'r ddwy ochr yn newid y traffig gwarchodedig i amgáu UDP. Dyna pam mae sesiwn a wynebodd gyfieithydd yn edrych yn wahanol i un na wnaeth.

Mae'r lapio yn amlen, nid yn newid protocol: Mae ESP yn cadw ei bennawd, ei wiriad cyfanrwydd a'i amgryptiad, ac mae UDP yn darparu dim ond y porthladdoedd sydd eu hangen ar y cyfieithydd. Mae porthladd 500 yn cario cyfnewid IKE; mae 4500 yn cario'r data wedi'i amgáu ar ôl canfod, a'r negeseuon IKE diweddarach yn aml hefyd. Nid yw'r naill borthladd na'r llall yn gwneud y llif yn gysylltiad TCP, y rhagdybiaeth sy'n camarwain y rhan fwyaf o bobl sy'n darllen cipolwg.

Gwiriwch y ddau gam yn eu trefn

Profwch y cyfnewid rheoli yn gyntaf, yna'r llwybr data, a chadwch y ddau ar wahân yn eich nodiadau. Mae cipolwg sy'n dangos traffig ar 500 ac byth ar 4500 fel arfer yn golygu bod y llwybr data yn cael ei hidlo, felly mae'r atgyweiriad yn perthyn i reol y mur gwarchod yn hytrach na'r cleient.

Gwyliwch y ddau borthladd gyda tcpdump -ni any 'udp port 500 or udp port 4500', a darllenwch y tabl cyfieithu ar y llwybrydd tra bo sesiwn yn fyw. Mae'r tabl hwnnw'n dangos y porthladd ffynhonnell y bydd y porth yn ei weld mewn gwirionedd, ac mae cipolwg ar y gliniadur yn anghytuno yn ôl y cynllun: mae'r gliniadur yn credu 500 tra bo'r porth yn gweld 4500 gyda phorthladd ffynhonnell wedi'i gyfieithu, ac mae'r ddau yn gywir. Yr un llif, cyn ac ar ôl cyfieithu:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Symptomau y mae'r lapio yn eu hesbonio, a dau nad yw'n eu hesbonio

Llwybrydd sy'n caniatáu'r cyfnewid rheoli ac yn blocio'r data wedi'i amgáu yn cynhyrchu'r adroddiad bod y twnnel i fyny ond nad oes dim yn mynd trwodd. Mae tablau mapio yn dod i ben, felly mae angen traffig cadw'n fyw ar sesiwn segur y mae'r ddwy ochr yn ei anfon yn fwriadol, ac nid yw'r pecynnau hynny yn wiriadau iechyd. Pan fydd sawl cleient y tu ôl i un porth yn methu gyda'i gilydd, archwiliwch gyfieithiad y porth hwnnw ac unrhyw nodwedd tramwyo etifeddol. Nid yw'r lapio yn esbonio rhaglen sy'n methu i bob cleient ar ôl i'r twnnel godi, nac yn esbonio rhybudd tystysgrif ar dudalen blocio; mae'r ddau uwchben y haen hon.

Darllenwch y tabl mapio ar gyfer dau gleient ar unwaith: os yw'r ddau yn dangos yr un porthladd cyfieithu, nid yw'r ddyfais yn eu gwahanu fel y mae'r porth yn ei olygu. Nid yw modd tramwyo sy'n rhoi ESP brodorol i un gwesteiwr yn unig yn gyfwerth â gwasanaethu sawl cleient cyfieithu, er bod gwerthwyr yn disgrifio'r ddau fel rhai sy'n gyfeillgar i IPsec. Mae NAT dwbl yn ychwanegu haen fapio a phwynt dod i ben arall, ond nid yw'n torri cysylltiadau allanol yn awtomatig.

Mae traffig cadw'n fyw yn haeddu ei linell ei hun yn y llawlyfr gweithredu, oherwydd dyma sy'n cadw'r llwybr ateb yn agored trwy gyfnodau segur. Galluogwch ef lle mae'r gwerthwr yn ei ddogfennu, a'i wirio gyntaf pan fydd sesiwn yn marw ar ôl munudau o dawelwch yn hytrach nag ar y defnydd cyntaf.

Newidiwch berchennog y mapio, yna ailbrofwch

Dilynwch y gosodiadau tramwy NAT a gefnogir ar y ddwy ochr yn hytrach na dyfalu porthladd. Ni all golygu'r porthladd ffynhonnell lleol ar un cleient newid y gwasanaeth sy'n gwrando ar y pen pellaf, ac mae fel arfer yn torri'r mapio sydd eisoes wedi'i adeiladu. Os yw'r cleient y tu ôl i ddyfais nad ydych yn ei rheoli, mae'r newid yn perthyn i'w pherchennog.

Ar ôl unrhyw newid, ailadroddwch y ddau wiriad cam a chadarnhau bod pecyn data yn croesi, nid yn unig bod y sgrin statws wedi troi'n wyrdd. Cadwch y tuple, allbwn y tabl mapio a'r newid rheol mewn un nodyn, fel nad yw'r person nesaf yn ailgychwyn o'r cyfnewid rheoli. Nodiadau strongSwan ar dramwy NAT yn ymdrin â'r gosodiadau amgáu a chadw'n fyw y tu ôl i'r ddau gam.