Hoe NAT-traversal de ESP yn UDP ynpakt

Twa klanten efter deselde router prate mei ien IPsec-gateway, en ien bliuwt mar falle wylst de oare oerbliuwt. Native ESP is IP-protokol 50 sûnder poarten, dus in oersetter hat neat om in mapping op te kaaien as meardere klanten ien adres diele. NAT-traversal slút dy gat troch ESP op 4500 yn UDP yn te pakken, en dy koptekst ferklearret de measte fan de symptomen dy't folgje. Hy wiist ek op it apparaat dat feroare wurde moat.

Wêrom't it datavlak nei poarte 4500 ferhuzet

By it opsetten ferliket IKEv2 de adressen en poarten dy't elke kant mient te brûken, troch hashes út te wikseljen yn syn NAT-deteksjemeldingen. As de hashes net oerienkomme, sit der earne op it paad in oersetter, en beide partijen sette it beskerme ferkear oer op UDP-ynkapseling. Dêrom sjocht in sesje dy't in oersetter tsjinkommen is der oars út as ien dy't dat net is.

De ynpakking is in enveloppe, gjin protokolferoaring: ESP hâldt syn koptekst, yntegriteitskontrôle en fersifering, en UDP leveret allinnich de poarten dy't de oersetter nedich hat. Poarte 500 draacht de IKE-útwikseling; 4500 draacht de ynkapsele data nei de deteksje, en faak ek de lettere IKE-berjochten. Gjin fan beide poarten makket de stream in TCP-ferbining, in oanname dy't de measte minsken dy't in opname lêze misliedt.

Kontrolearje de twa fazen yn folchoarder

Bewiis earst de kontrôle-útwikseling, dan it datapaad, en hâld de twa apart yn jo notysjes. In opname dy't ferkear op 500 sjen lit en nea op 4500, betsjut meastentiids dat it datapaad filtere wurdt, dus de ferbettering heart yn de firewall-regel en net yn de klant.

Hâld beide poarten yn 'e gaten mei tcpdump -ni any 'udp port 500 or udp port 4500', en lês de oersettingstabel op de router wylst in sesje aktyf is. Dy tabel lit de boarne-poarte sjen dy't de gateway echt sjocht, en in opname op de laptop is it dermei iens neffens it ûntwerp: de laptop mient 500 wylst de gateway 4500 sjocht mei in oersetten boarne-poarte, en beide hawwe gelyk. Deselde stream, foar en nei de oersetting:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Symptomen dy't de ynpakking ferklearret, en twa dy't se net ferklearret

In router dy't de kontrôle-útwikseling tastean lit en de ynkapsele data blokkearret jout it rapport dat de tunnel omheech is mar der neat trochgiet. Mappingtabellen ferrinne, dus in frije sesje hat keepalive-ferkear nedich dat de partijen mei opsetsin stjoere, en dy pakketten binne gjin sûnenskonkroles. As meardere klanten efter ien gateway tagelyk misse, ûndersykje dan de oersetting fan dy gateway en elke âlde trochlittingfunksje. De ynpakking ferklearret gjin applikaasje dy't by elke klant misse nei't de tunnel omheech is, en ek gjin sertifikaatswarskôging op in blokkearside; beide lizze boppe dizze laach.

Lês de mappingtabel foar twa klanten tagelyk: as beide deselde oersetten poarte sjen litte, skiedt it apparaat se net sa't de gateway easket. In trochlittingmodus dy't native ESP mar oan ien host jout, is net gelyk oan it betsjinjen fan meardere oersetten klanten, ek al beskriuwe ferkeapers beide as IPsec-freonlik. Dûbele NAT foeget in mappinglaach en noch in ferrinpunt ta, mar it brekt útgeande ferbiningen net automatysk.

Keepalive-ferkear fertsjinnet syn eigen regel yn it operasjonshânboek, want it is wat it antwurdpaad troch rêstige perioaden iepen hâldt. Skeakelje it yn dêr't de ferkeaper it dokumintearret, en kontrolearje it earst as in sesje nei minuten fan stilte stjert en net by it earste gebrûk.

Feroarje de eigner fan 'e mapping, en test dan opnij

Folgje de stipe NAT-traversal-ynstellingen op beide partijen ynstee fan in poarte te rieden. It bewurkjen fan 'e lokale boarne-poarte op ien klant kin de tsjinst dy't oan 'e oare kant harket net feroarje, en it brekt meastentiids de al boude mapping. As de klant efter in apparaat sit dat jo net kontrolearje, heart de feroaring by syn eigner.

Werhelje nei elke feroaring beide fazekontrôles en befêstigje dat in datapakket trochgiet, net allinnich dat it statussskerm grien wurden is. Hâld de tuples, de útfier fan 'e mappingtabel en de regelferoaring yn ien notysje, sadat de folgjende persoan net wer by de kontrôle-útwikseling begjint. De strongSwan-notysjes oer NAT-traversal behannelje de ynkapselings- en keepalive-ynstellingen efter beide fazen.