Kiel NAT-trairo volvas la ESP en UDP

Du klientoj malantaŭ la sama enkursigilo parolas al unu IPsec-pordego, kaj unu daŭre falas dum la alia restas funkcianta. La denaska ESP estas IP-protokolo 50 sen pordoj, do tradukilo havas nenion sur kion ŝlosi mapadon, kiam pluraj klientoj kunhavas unu adreson. NAT-trairo fermas tiun breĉon per volvado de ESP en UDP ĉe 4500, kaj tiu kaplinio klarigas la plej multajn el la sekvaj simptomoj. Ĝi ankaŭ montras al la aparato, kiun oni devas ŝanĝi.

Kial la datena ebeno translokiĝas al pordo 4500

Dum la agordo IKEv2 komparas la adresojn kaj pordojn, kiujn ĉiu flanko kredas uzi, interŝanĝante haketojn en siaj NAT-detekaj sciigoj. Kiam la haketoj malkongruas, tradukilo sidas ie en la vojo, kaj ambaŭ partneroj transigas la protektitan trafikon al UDP-enkapsuligo. Tial kunsido, kiu renkontis tradukilon, aspektas alie ol tiu, kiu ne renkontis.

La volvaĵo estas koverto, ne protokola ŝanĝo: ESP konservas sian kaplinion, integrecan kontrolon kaj ĉifradon, kaj UDP liveras nur la pordojn, kiujn la tradukilo bezonas. Pordo 500 portas la IKE-interŝanĝon; 4500 portas la enkapsuligitajn datumojn post detekto, kaj ofte ankaŭ la postajn IKE-mesaĝojn. Neniu el la pordoj faras la fluon TCP-konekto, supozo, kiu misgvidas la plej multajn homojn legantajn kaptaĵon.

Kontrolu la du etapojn laŭvice

Unue pruvu la regadinterŝanĝon, poste la datvojon, kaj tenu la du aparte en viaj notoj. Kaptaĵo, kiu montras trafikon ĉe 500 kaj neniam ĉe 4500, kutime signifas, ke la datvojo estas filtrita, do la korekto apartenas al la fajroŝirma regulo, ne al la kliento.

Observu ambaŭ pordojn per tcpdump -ni any 'udp port 500 or udp port 4500', kaj legu la traduktabelon sur la enkursigilo dum kunsido estas viva. Tiu tabelo montras la fontan pordon, kiun la pordego efektive vidos, kaj kaptaĵo sur la tekkomputilo malkongruas laŭdesegne: la tekkomputilo kredas 500 dum la pordego vidas 4500 kun tradukita fonta pordo, kaj ambaŭ pravas. La sama fluo, antaŭ kaj post traduko:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptomoj, kiujn la volvaĵo klarigas, kaj du, kiujn ĝi ne klarigas

Enkursigilo, kiu permesas la regadinterŝanĝon kaj blokas la enkapsuligitajn datumojn produktas la raporton, ke la tunelo staras sed nenio trapasas. Mapadotabeloj eksvalidiĝas, do senokupa kunsido bezonas vivtenan trafikon, kiun la partneroj sendas intence, kaj tiuj pakaĵoj ne estas sanaj kontroloj. Kiam pluraj klientoj malantaŭ unu pordego malsukcesas kune, ekzamenu la tradukon de tiu pordego kaj ajnan malnovan pasigofunkcion. La volvaĵo ne klarigas aplikaĵon, kiu malsukcesas ĉe ĉiu kliento post la starigo de la tunelo, nek certifikadan averton sur blokpaĝo; ambaŭ situas super ĉi tiu tavolo.

Legu la mapadotabelon por du klientoj samtempe: se ambaŭ montras la saman tradukitan pordon, la aparato ne apartigas ilin tiel, kiel la pordego postulas. Pasigoreĝimo, kiu donas denaskan ESP al nur unu gastiganto, ne egalas al servado de pluraj tradukitaj klientoj, kvankam vendistoj priskribas ambaŭ kiel IPsec-amikaj. Duobla NAT aldonas mapadan tavolon kaj ankoraŭan eksvalidiĝan punkton, sed ĝi ne aŭtomate rompas elirajn konektojn.

Vivtena trafiko meritas sian propran linion en la funkciigmanlibro, ĉar ĝi tenas la respondan vojon malfermita tra senokupaj periodoj. Ŝaltu ĝin tie, kie la vendisto dokumentas ĝin, kaj kontrolu ĝin unue, kiam kunsido mortas post minutoj da silento anstataŭ ĉe la unua uzo.

Ŝanĝu la posedanton de la mapado, poste retestu

Sekvu la subtenatajn NAT-trairajn agordojn sur ambaŭ partneroj anstataŭ diveni pordon. Redakti la lokan fontan pordon sur unu kliento ne povas ŝanĝi la servon aŭskultantan ĉe la alia fino, kaj ĝi kutime rompas la jam konstruitan mapadon. Se la kliento sidas malantaŭ aparato, kiun vi ne regas, la ŝanĝo apartenas al ĝia posedanto.

Post ajna ŝanĝo, ripetu ambaŭ etapokontrolojn kaj konfirmu, ke datpakaĵo trapasas, ne nur ke la statuseĝo verdiĝis. Tenu la opojn, la eligon de la mapadotabelo kaj la regulan ŝanĝon en unu noto, por ke la sekva persono ne rekomencu de la regadinterŝanĝo. La strongSwan-notoj pri NAT-trairo kovras la enkapsuligajn kaj vivtenajn agordojn malantaŭ ambaŭ etapoj.