Nola biltzen duen NAT zeharkaldiak ESP UDPren barruan

Router beraren atzean dauden bi bezerok IPsec atebide bakarrera hitz egiten dute, eta bat etengabe erortzen da bestea zutik dagoen bitartean. Jatorrizko ESP IP protokolo 50 da, porturik gabe, beraz itzultzaileak ez du mapaketa bat ainguratzeko ezer hainbat bezerok helbide bat partekatzen dutenean. NAT zeharkaldiak hutsune hori ixten du ESP 4500ean UDPren barruan bilduz, eta goiburu horrek azaltzen ditu ondorengo sintoma gehienak. Aldatu beharreko gailua ere seinalatzen du.

Zergatik mugitzen da datu-planoa 4500 portura

Konfigurazioan, IKEv2k alde bakoitzak erabiltzen duela uste dituen helbideak eta portuak alderatzen ditu, NAT detekzio-oharretan hashak trukatuz. Hashak bat ez datozenean, itzultzaile bat dago bideko nonbait, eta bi pareek babestutako trafikoa UDP kapsulaziora aldatzen dute. Horregatik itzultzaile batekin topo egin zuen saio bat ez bezalakoa da.

Bilgarria gutun-azal bat da, ez protokolo-aldaketa: ESPk bere goiburua, osotasun-egiaztapena eta zifraketa mantentzen ditu, eta UDPk itzultzaileak behar dituen portuak soilik ematen ditu. 500 portuak IKE trukea darama; 4500ak kapsulatutako datuak detekzioaren ondoren, eta sarritan geroagoko IKE mezuak ere. Bi portuetako batek ere ez du fluxua TCP konexio bihurtzen, kaptura bat irakurtzen duen jende gehiena engainatzen duen ustea.

Egiaztatu bi etapak ordenan

Froga ezazu lehenengo kontrol-trukea, gero datu-bidea, eta eduki biak bereizita zure oharretan. 500ean trafikoa erakusten duen eta 4500ean inoiz erakusten ez duen kaptura batek esan nahi du normalean datu-bidea iragazita dagoela, beraz konponketa suebaki-arauan dagokio, ez bezeroan.

Ikusi bi portuak tcpdump -ni any 'udp port 500 or udp port 4500' erabiliz, eta irakurri routerreko itzulpen-taula saioa bizirik dagoen bitartean. Taula horrek atebideak benetan ikusiko duen iturburu-portua erakusten du, eta ordenagailu eramangarriko kapturak nahita egiten du bat ez: eramangarriak 500 uste du, atebideak ordea 4500 ikusten du iturburu-portu itzuliarekin, eta biak dira zuzenak. Fluxu bera, itzulpenaren aurretik eta ondoren:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Bilgarriak azaltzen dituen sintomak, eta azaltzen ez dituen bi

Kontrol-trukea uzten duen eta kapsulatutako datuak blokeatzen dituen routerra kanpaiak sortzen du: tunela jasota dago baina ez da ezer pasatzen. Mapaketa-taulak iraungitzen dira, beraz saio geldiak mantenimendu-trafikoa behar du, pareek nahita bidaltzen dutena, eta pakete horiek ez dira osasun-egiaztapenak. Atebide baten atzeko hainbat bezerok batera huts egiten badute, aztertu atebide horren itzulpena eta edozein pasabide-funtzio zaharra. Bilgarriak ez du azaltzen tunela jaso ondoren bezero guztietan huts egiten duen aplikazio bat, ezta blokeo-orriko ziurtagiri-abisua ere; biak geruza honen gainean daude.

Irakurri mapaketa-taula bi bezerorentzat aldi berean: biak portu itzuli bera erakusten badute, gailuak ez ditu atebideak eskatzen duen bezala bereizten. ESP jatorrizkoa ostalari bakarrari ematen dion pasabide-modua ez da itzulitako hainbat bezero zerbitzatzearen baliokidea, saltzaileek biak IPsec-rekin adiskidetsu gisa deskribatzen badituzte ere. NAT bikoitzak mapaketa-geruza bat eta beste iraungitze-puntu bat gehitzen ditu, baina ez ditu irteerako konexioak automatikoki hausten.

Mantenimendu-trafikoak bere lerroa merezi du eragiketa-eskuliburuan, atsedenaldietan erantzun-bidea irekita mantentzen duena bera delako. Gaitu saltzaileak dokumentatzen duen tokian, eta egiaztatu lehenengo saio bat minutu batzuen isiltasunaren ondoren hiltzen denean, lehen erabileran baino.

Aldatu mapaketaren jabea, eta gero probatu berriro

Jarraitu bi pareetan onartutako NAT zeharkaldiaren ezarpenak, portua asmatu beharrean. Bezero batean tokiko iturburu-portua editatzeak ezin du urruneko muturrean entzuten ari den zerbitzua aldatu, eta normalean eraikitako mapaketa hausten du. Bezeroa kontrolatzen ez duzun gailu baten atzean badago, aldaketa haren jabeari dagokio.

Edozein aldaketaren ondoren, errepikatu bi etapa-egiaztapenak eta berretsi datu-pakete bat zeharkatzen ari dela, ez soilik egoera-pantaila berde jarri dela. Eduki tuplak, mapaketa-taularen irteera eta arau-aldaketa ohar bakarrean, hurrengo pertsonak kontrol-truketik berriro has ez dadin. strongSwanen NAT zeharkaldiari buruzko oharrak bi etapetako kapsulazio- eta mantenimendu-ezarpenak estaltzen ditu.