Näin NAT-läpäisy käärii ESP:n UDP:n sisään

Kaksi saman reitittimen takana olevaa asiakasta puhuu yhdelle IPsec-yhdyskäytävälle, ja toinen putoaa jatkuvasti, kun taas toinen pysyy yhteydessä. Alkuperäinen ESP on IP-protokolla 50 ilman portteja, joten kääntäjällä ei ole mitään, mihin sovituksen voisi kiinnittää, kun useat asiakkaat jakavat yhden osoitteen. NAT-läpäisy sulkee tämän aukon käärimällä ESP:n UDP:n sisään portissa 4500, ja tämä otsake selittää suurimman osan seuraavista oireista. Se osoittaa myös laitteen, jota pitää muuttaa.

Miksi datataso siirtyy porttiin 4500

Asennuksen aikana IKEv2 vertaa osoitteita ja portteja, joiden kukin osapuoli uskoo käyttävänsä, vaihtamalla tiivisteitä NAT-tunnistusilmoituksissaan. Kun tiivisteet eivät täsmää, jossain polulla on kääntäjä, ja molemmat osapuolet siirtävät suojatun liikenteen UDP-kapselointiin. Siksi kääntäjän kohdannut istunto näyttää erilaiselta kuin sellainen, joka ei kohdannut.

Kääre on kirjekuori, ei protokollan muutos: ESP säilyttää otsakkeensa, eheyden tarkistuksen ja salauksensa, ja UDP tarjoaa vain ne portit, joita kääntäjä tarvitsee. Portti 500 kuljettaa IKE-vaihdon; 4500 kuljettaa kapseloidut tiedot tunnistuksen jälkeen ja usein myös myöhemmät IKE-viestit. Kumpikaan portti ei tee virrasta TCP-yhteyttä, oletus, joka johtaa harhaan useimpia kaappauksen lukijoita.

Tarkista kaksi vaihetta järjestyksessä

Todista ensin ohjausvaihto ja sitten datapolku, ja pidä ne muistiinpanoissasi erillään. Kaappaus, joka näyttää liikennettä portissa 500 eikä koskaan portissa 4500, tarkoittaa yleensä, että datapolku on suodatettu, joten korjaus kuuluu palomuurisääntöön eikä asiakkaaseen.

Seuraa molempia portteja komennolla tcpdump -ni any 'udp port 500 or udp port 4500' ja lue reitittimen käännöstaulukkoa, kun istunto on käynnissä. Taulukko näyttää lähdeportin, jonka yhdyskäytävä todella näkee, ja kannettavan kaappaus eroaa siitä tarkoituksella: kannettava uskoo 500:tä, kun yhdyskäytävä näkee 4500 käännetyllä lähdeportilla, ja molemmat ovat oikeassa. Sama virta ennen käännöstä ja sen jälkeen:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Oireet, jotka kääre selittää, ja kaksi, joita se ei selitä

Reititin, joka sallii ohjausvaihdon ja estää kapseloidut tiedot tuottaa raportin, että tunneli on ylhäällä mutta mitään ei kulje. Sovitustaulukot vanhenevat, joten joutilas istunto tarvitsee pitoliikennettä, jota osapuolet lähettävät tarkoituksella, eivätkä ne paketit ole terveystarkistuksia. Kun useat asiakkaat yhden yhdyskäytävän takana epäonnistuvat yhdessä, tutki kyseisen yhdyskäytävän käännöstä ja mitä tahansa vanhaa läpivientitoimintoa. Kääre ei selitä sovellusta, joka epäonnistuu kaikilla asiakkailla tunnelin nousemisen jälkeen, eikä estosivun varoitusilmoitusta varmenteesta; molemmat sijaitsevat tämän kerroksen yläpuolella.

Lue sovitustaulukkoa kahdelle asiakkaalle kerralla: jos molemmat näyttävät saman käännety portin, laite ei erota niitä niin kuin yhdyskäytävä vaatii. Läpivientitila, joka antaa alkuperäisen ESP:n vain yhdelle isännälle, ei vastaa useiden käännettyjen asiakkaiden palvelemista, vaikka myyjät kuvailevat molempia IPsec-ystävällisiksi. Kaksinkertainen NAT lisää sovituskerroksen ja vielä yhden vanhenemispisteen, mutta se ei automaattisesti katkaise lähteviä yhteyksiä.

Pitoliikenne ansaitsee oman rivinsä käyttöoppaassa, koska juuri se pitää vastauspolun avoinna joutilasjaksojen ajan. Ota se käyttöön siellä, missä myyjä dokumentoi sen, ja tarkista se ensimmäisenä, kun istunto kuolee useiden hiljaisten minuuttien jälkeen eikä ensimmäisellä käyttökerralla.

Vaihda sovituksen omistaja ja testaa uudelleen

Noudata molemmissa päissä tuettuja NAT-läpäisyn asetuksia sen sijaan, että arvaisit portin. Paikallisen lähdeportin muokkaaminen yhdessä asiakkaassa ei voi muuttaa palvelua, joka kuuntelee toisessa päässä, ja se rikkoo yleensä jo rakennetun sovituksen. Jos asiakas on laitteen takana, jota et hallitse, muutos kuuluu sen omistajalle.

Toista jokaisen muutoksen jälkeen molemmat vaihetarkistukset ja varmista, että datapaketti kulkee, eikä vain että tilanäyttö muuttui vihreäksi. Pidä tuplet, sovitustaulukon tuloste ja sääntömuutos yhdessä muistiinpanossa, jotta seuraava henkilö ei aloita uudelleen ohjausvaihdosta. strongSwanin NAT-läpäisyä koskevat muistiinpanot kattavat kapseloinnin ja pitoliikenteen asetukset molempien vaiheiden takana.