strongSwan ESP-in-UDP: pan nad oes NAT i'w ganfod

Mae canfod NAT yn darganfod cyfieithu cyfeiriadau, nid polisi wal dân. Gall cysylltiad safle heb NAT o hyd fod angen dewis ESP-in-UDP penodol.

Mae canfod NAT yn ateb un cwestiwn: a yw'r cyfeiriadau neu'r portau wedi newid ar y daith? Nid yw'n ateb a yw wal dân yn caniatáu protocol IP 50. Gall pyrth safle heb unrhyw gyfieithu o hyd fod y tu ôl i bolisi sy'n gollwng native ESP, a rhaid ffurfweddu'r gofyniad hwnnw yn hytrach na'i ddarganfod. Y mecanwaith yw ESP-in-UDP, a phenderfyniad yw hynny yn hytrach nag wrth gefn sy'n ymddangos ohono'i hun.

Mae canfod yn rhifyddeg ar gyfeiriadau, nid archwiliad wal dân

Mae IKEv2 yn cludo llwythi canfod NAT sy'n cynnwys hashes o'r cyfeiriadau a'r portau ffynhonnell a chyrchfan. Mae pob ochr yn cymharu'r hyn a dderbyniodd â'r hyn a wel yn lleol, ac mae anghysondeb yn dweud wrthi bod rhywbeth wedi cyfieithu'r pecyn. Nid oes dim yn y cyfnewidiad hwnnw'n profi a yw llwybrydd yn y canol yn anfon protocol 50 ymlaen.

Mae'n werth dweud y canlyniad ymarferol yn blaen. Ni fydd twnel a weithiai gyda native ESP yn darganfod wal dân newydd gyfyngol ar ei ben ei hun, ac mae ei ymgais nesaf yn methu yn ystod y data tra bod IKE yn parhau i lwyddo. Byddwch yn gweld cymdeithasau diogelwch IKE wedi'u sefydlu a dim traffig gwarchodedig, sy'n edrych fel nam llwybro nes i chi gipio ar y wifren.

Felly mae amgáu yn briodwedd o'r cysylltiad a ffurfweddwch, nid yn ganlyniad y mae'r cymheiriaid yn ei drafod o ymddygiad y rhwydwaith.

Sut mae encap yn newid y cyfnewidiad

Mewn gosodiad modern o strongSwan a reolir drwy swanctl.conf, mae gosod encap = yes ar y cysylltiad yn dylanwadu ar y cyfnewidiad canfod NAT fel bod y ddwy ochr yn defnyddio amgáu UDP ar gyfer ESP. Yna mae'r pecynnau gwarchodedig yn teithio o fewn UDP, fel arfer ar port 4500, a rhaid i'r ddau ben gytuno ar y drefn honno.

connections {
    site {
        encap = yes
        # existing approved peer, authentication and child settings
    }
}

Mae'r darn hwnnw'n perthyn y tu mewn i ddiffiniad cysylltiad go iawn ac nid yw'n broffil safle cyflawn. Cadwch y cyfeiriadau cymheiriaid, y dilysiad a'r detholwyr traffig child rydych chi'n eu defnyddio'n barod; mae'r un allwedd a ychwanegwyd yn newid sut mae'r data gwarchodedig yn cael ei lapio, nid beth mae'n ei warchod.

Mae arweiniad strongSwan ar NAT-traversal yn disgrifio'r ymddygiad hwn, gan gynnwys y rhyngweithio â phort nofio pan ddefnyddir MOBIKE.

Defnyddiwch y gosodiad sy'n perthyn i'ch backend

Mae gan strongSwan ddau backend ffurfweddu, ac mae'r allwedd yn wahanol rhyngddynt. Mae swanctl.conf cysylltiad yn cymryd encap, tra bod ipsec.conf cysylltiad hŷn yn cymryd forceencaps. Mae gollwng allweddair un backend i'r llall yn cynhyrchu ffurfweddiad sy'n llwytho heb gŵyn ac yn newid dim, sy'n waeth nag unrhyw wall.

Gwiriwch pa daemon sy'n rhedeg mewn gwirionedd cyn i chi olygu unrhyw beth. Mewn llawer o ddosbarthiadau mae'r ddau ffeil yn bodoli oherwydd bod un yn weddill o fewnfudiad cynharach, a'r un actif yw'r hyn y mae'r uned gwasanaeth yn ei chychwyn. Darllenwch yr uned honno yn hytrach na dyfalu o stampiau amser ffeiliau. Mae gwiriad pum eiliad yma'n atal oriau o brofi gosodiad na lwythodd dim byd.

Cymhwyswch y newid drwy berchennog y cysylltiad ac ailsefydlwch y gymdeithas yn ystod ffenestr reoledig. Mae plentyn sydd eisoes wedi'i osod yn cadw ei amgáu presennol nes iddo gael ei ddisodli, felly nid yw golygu ffeil ar ei ben ei hun yn profi bod y drefn newydd yn cael ei defnyddio.

Gwiriwch y data wedi'i lapio, nid y port yn unig

Cipiwch ar y porth tra bod traffig gwarchodedig yn llifo, yna cymharwch hynny â golygfa strongSwan ei hun:

$ sudo tcpdump -ni eth0 'udp port 4500' -c 20
$ sudo swanctl --list-sas --ike site
$ sudo ip xfrm state list

Mae native ESP yn ymddangos fel protocol IP 50 ac nid yw'n edrych dim yn debyg i UDP. Mae ESP wedi'i lapio'n ymddangos fel datagramau UDP ar 4500 nad yw eu llwyth yn IKE. Nid yw traffig IKE ar yr un port yn brawf o amgáu, oherwydd gall MOBIKE symud IKE yno tra bod y llwybr data'n parhau'n native, felly darllenwch y llwyth, nid rhif y port.

Cadwch MTU y llwybr mewn cof hefyd. Mae'r lapio'n ychwanegu treuliau, a gall llwybr a gludai native ESP fod angen addasiadau pan fydd y pecynnau'n tyfu. Dylai trin ICMP gofynnol fod yn rhan o'r dyluniad yn barod; nid yw amgáu'n dileu'r dibyniaeth honno.

Derbyniwch y newid pan fydd traffig cymhwysiadau newydd y tu mewn i'r twnel yn weladwy yn y cipiad fel ESP wedi'i lapio ar y ddau ben, a phan fydd y gwasanaeth mewnol a'i lwybr dychwelyd yn dal i weithio. Unrhyw beth llai yw ffurfweddiad sy'n edrych yn iawn mewn ffeil.

Erthyglau cysylltiedig