Conas a fhilltear ESP taobh istigh de UDP trí thrasnú NAT

Labhraíonn beirt chliant taobh thiar den ródaer céanna le geata IPsec amháin, agus tá ceann ag tit amach i gcónaí fad a fhanann an ceann eile. Is é ESP dúchasach prótacal IP 50 gan phoirt, mar sin níl aon rud ag aistritheoir chun mapáil a eochairiú nuair a roinneann roinnt cliant seoladh amháin. Dúnann trasnú NAT an bhearna sin trí ESP a fhilleadh in UDP ar 4500, agus míníonn an ceannteideal sin formhór na siomptóm a leanann. Cuireann sé in iúl freisin an gléas atá le hathrú.

Cén fáth a mbogann an plána sonraí go port 4500

Le linn cumraíochta déanann IKEv2 comparáid idir na seoltaí agus na poirt a cheapann gach taobh a bhíonn á n-úsáid aige, trí haiseanna a mhalartú ina chuid fógraí braite NAT. Nuair nach n-aontaíonn na haiseanna, bíonn aistritheoir suite éigin ar an gcosán, agus athraíonn an dá phiara an trácht cosanta go himfhillteán UDP. Sin an fáth a bhfuil cuma éagsúil ar sheisiún a thug aghaidh ar aistritheoir agus ar cheann nár thug.

Is clúdach é an t-imfhillteán, ní athrú prótacail: Coimeádann ESP a cheannteideal, a sheiceáil sláine agus a chriptiú, agus ní sholáthraíonn UDP ach na poirt a theastaíonn ón aistritheoir. Iompraíonn port 500 an malartú IKE; iompraíonn 4500 na sonraí imfhillte tar éis braite, agus go minic na teachtaireachtaí IKE níos déanaí freisin. Ní dhéanann ceachtar port ceangal TCP den sreabhadh, toimhde a mheallann formhór na ndaoine a léann gabháil.

Seiceáil an dá chéim in ord

Cruthaigh an malartú smachta ar dtús, ansin an cosán sonraí, agus coinnigh an dá rud ar leith i do nótaí. Gabháil a thaispeánann trácht ar 500 agus nach dtaispeánann riamh ar 4500 de ghnáth ciallaíonn sé go bhfuil an cosán sonraí scagtha, mar sin baineann an ceartú le riail an bhalla dóiteáin seachas leis an gcliant.

Faire ar an dá phort le tcpdump -ni any 'udp port 500 or udp port 4500', agus léigh tábla aistriúcháin an ródaer fad a bhíonn seisiún beo. Taispeánann an tábla sin an port foinse a fheicfidh an geata i ndáiríre, agus easaontaíonn gabháil ar an ríomhaire glúine leis de réir dearaidh: ceapann an ríomhaire 500 agus feiceann an geata 4500 le port foinse aistrithe, agus tá an dá rud ceart. An sreabhadh céanna, roimh an aistriúchán agus ina dhiaidh:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Siomptóim a mhíníonn an t-imfhillteán, agus dhá cheann nach míníonn

Ródaer a cheadaíonn an malartú smachta agus a chuireann bac ar na sonraí imfhillte cruthaíonn sé an tuarascáil go bhfuil an tollán suas ach nach dtéann aon rud tríd. Téann táblaí mapála in éag, mar sin teastaíonn trácht coimeádta ó sheisiún neamhghníomhach a sheolann na piaraí d'aon ghnó, agus ní seiceálacha sláinte iad na paicéid sin. Nuair a theipeann ar roinnt cliant taobh thiar de gheata amháin le chéile, scrúdaigh aistriúchán an gheata sin agus aon ghné phasála oidhreachta. Ní mhíníonn an t-imfhillteán feidhmchlár a theipeann ar gach cliant tar éis an tollán a ardú, ná rabhadh teastais ar leathanach blocála; tá an dá rud os cionn na sraithe seo.

Léigh an tábla mapála do bheirt chliant ag an am céanna: má thaispeánann an dá cheann an port aistrithe céanna, níl an gléas á scaradh ar an mbealach a éilíonn an geata. Níl modh pasála a thugann ESP dúchasach d'aon óstach amháin comhionann le freastal ar roinnt cliant aistrithe, cé go ndéanann díoltóirí cur síos ar an dá rud mar rudaí atá cairdiúil do IPsec. Cuireann NAT dúbailte ciseal mapála agus pointe éaga eile leis, ach ní bhriseann sé naisc amach go huathoibríoch.

Tá líne dá chuid féin tuillte ag trácht coimeádta sa lámhleabhar oibriúcháin, mar is é a choinníonn an cosán freagartha oscailte le linn tréimhsí díomhaoin. Cumasaigh é san áit a ndéanann an díoltóir é a dhoiciméadú, agus seiceáil é ar dtús nuair a fhaigheann seisiún bás tar éis cúpla nóiméad ciúnais seachas ar an gcéad úsáid.

Athraigh úinéir na mapála, ansin tástáil arís

Lean na socruithe trasnú NAT atá tacaithe ar an dá phiara seachas port a thomhas. Ní féidir le hathrú an phoirt foinse áitiúil ar chliant amháin an tseirbhís atá ag éisteacht ag an gcéad fhoirceann eile a athrú, agus is gnách go mbriseann sé an mhapáil atá tógtha cheana. Má tá an cliant taobh thiar de ghléas nach rialaíonn tú, baineann an t-athrú lena úinéir.

Tar éis aon athraithe, déan an dá sheiceáil chéime arís agus deimhnigh go dtrasnaíonn paicéad sonraí, ní hamháin gur iompaigh an scáileán stádais glas. Coinnigh na tupláin, aschur an tábla mapála agus an t-athrú rialach i nóta amháin, ionas nach dtosóidh an chéad duine eile as an malartú smachta arís. Nótaí strongSwan ar thrasnú NAT clúdaíonn siad socruithe an imfhillteáin agus an choimeádta taobh thiar den dá chéim.