L2TP/IPsec trí NAT: cad a bhriseann i ndáiríre agus cén fáth

Tá an t-éileamh go mbriseann NAT L2TP/IPsec leathfhíor agus mar sin gan úsáid. Is gnáth rud é aistriú seoltaí, tá NAT-traversal ann go díreach chun maireachtáil air, agus nascann na milliúin cliant ó chúl ródaire gach lá. Is é a bhriseann ná céim ar leith de mhalartú ar leith: ní fhaigheann IKE freagra riamh, diúltaítear don tollán ionchochlaithe le beartas nach gceadaíonn ach prótacal amháin, nó téann an mhapáil aistrithe in éag agus an tollán díomhaoin. Nuair a bheidh a fhios agat cén chéim ina bhfuil tú, is gnách gurb é an deisiú riail amháin nó keepalive seachas dearadh VPN nua.

Is é an miotas an cheist mhícheart

Ní hé an cheist úsáideach “an mbriseann NAT é seo” ach “cén chuid den mhalartú atá á haistriú, agus cad a dhéanann an gléas atá ag aistriú leis”. Is prótacal cisealta é L2TP/IPsec: déanann IKE idirbheartaíocht, cosnaíonn ESP, agus L2TP iompraíonn PPP laistigh den chosaint sin. Imríonn aistriú seoltaí tionchar difriúil ar gach ciseal, agus is féidir na comharthaí teipe a aithint má fhéachann tú ar chéim na hidirbheartaíochta seachas ar an dialóg earráide.

Ní chruthaíonn ródaire a bhrabhsálann an gréasán go rathúil ach go n-oibríonn TCP le haistriú calafoirt foinse. Ní deir sé faic faoi UDP 500, UDP 4500 nó prótacal 50, agus is iad na trí rud sin a bhfuil an t-imeascadh seo ag brath orthu.

Céim 1: caithfidh IKE freagra a fháil ar chor ar bith

Téann an chéad mhalartú chuig an bhfreagróir ar UDP 500. Mura dtagann aon fhreagra ar ais, ní cúis le haon rud eile: fanann an eochair réamhroinnte, an togra agus na dintiúirí gan léamh. Féach ar an iarraidh agus ar an bhfreagra seachas teacht ar chonclúid ó am istigh an chliaint:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Ciallaíonn iarraidh gan freagra de ghnáth go bhfuil balla dóiteáin nó an t-iompróir suas an bealach ag caitheamh an phacáid, ní go ndiúltaigh an freastalaí dó. Ciallaíonn freagra le hualach fógra a ainmníonn togra nó fadhb teastais gur shroich na pacáidí agus gur theip ar an idirbheartaíocht ar ábhar, rud atá ina dheisiú iomlán difriúil.

Nuair a bhíonn an dá phiar taobh thiar d’aistriú, ní gá don tionscnóir ach an freagróir a shroichint, mar sin oibríonn formhór na n-imeascadh ar thaobh an chliaint ó chéim 1. Is ar óstáil thaobh an fhreastalaí a thosaíonn an fhadhb ionchuir, agus sin an fáth nár cheart riamh plé a dhéanamh ar an dá chás mar aon chás amháin.

Céim 2: athraíonn ionchochlú an rud a fheiceann an balla dóiteáin

Is prótacal IP é ESP, ní calafort TCP ná UDP, agus níl aon réimse calafoirt le hathscríobh ag aistriú seoltaí calafoirt den ghnáthchineál. Sin an fáth a n-aistríonn NAT-traversal an t-ualach cosanta isteach i UDP 4500: tugann an t-ionchochlú rud éigin don ghléas aistrithe a bhfuil a fhios aige conas a aistriú. Nuair a tharlaíonn sé sin, beidh riail balla dóiteáin a scríobhadh do UDP 500 amháin ag ceadú na hidirbheartaíochta agus ag caitheamh an tolláin, rud a tháirgeann an toradh mearbhallach ina léiríonn an log céim 1 rathúil agus gan aon trácht.

Is féidir leis an malartú IKE féin bogadh go UDP 4500 freisin tar éis NAT a bhrath, rud a chuireann iontas ar dhaoine a cheadaigh 500 agus faic eile. Ceadaigh an dá chalafort sa dá threo ar an mbealach, agus cuimhnigh nach féidir le balla dóiteáin stáit an sreabhadh a choinneáil ach amháin chomh fada agus a fheiceann sé trácht.

Tá tábhacht fós le prótacal 50 ar bhealaí gan aistriú, agus ar bhealaí ina bhfuil bosca idirmheánach cumraithe chun é a cheadú. Má dhéanann tú diagnóis trí dheireadh a chur le roghanna, múch an hipitéis seachas rialacha a chur leis ina mboirne: ceadaigh 500, 4500 agus ESP, deimhnigh go n-éiríonn an tollán, ansin bain an rud a bhí gan ghá. Is riail nach féidir le duine ar bith a mhíniú riail nach mbainfidh duine ar bith nuair a éiríonn sí ina cúis leis an gcéad chliseadh eile. Scríobh an caolú sa taifead athraithe in éineacht leis an gcéim a dheisigh sé, ionas go dtosóidh an chéad innealtóir eile ó do chuid fianaise seachas ón riail ordóige chéanna.

Céim 3: téann an mhapáil in éag agus faigheann an tollán bás

Coinníonn gléas aistrithe staid do na sreafaí a sheolann sé ar aghaidh, agus tá saolré ag an staid sin. Ní iompraíonn tollán L2TP/IPsec mórán tráchta nuair nach n-úsáideann duine ar bith é, mar sin féadfaidh tollán díomhaoin maireachtáil níos faide ná a mhapáil agus stopadh ag fáil tráchta aischuir. Fanann an cliant cinnte go bhfuil sé ceangailte, ní fheiceann an freastalaí faic, agus is gnách gurb é an chéad siomptóm am istigh feidhmchláir seachas earráid VPN.

Tá braith piaraí marbh agus keepalives NAT ann chuige seo, agus caithfidh an dá cheann a bheith sásta iad a sheoladh. Má tá do fhreastalaí taobh thiar d’aistriú, is é an riachtanas ar thaobh Windows socrú clárlainne doiciméadaithe a thugann ar an bhfreastalaí ionchochlú UDP a ghlacadh lena phacáidí amach féin; gan é, seolann an freagróir ESP nach féidir leis an ngléas aistrithe a mhapáil ar ais. Is ceist cumraíochta freastalaí é sin, ní ceist cliaint.

Táirgeann athrú seoladh WAN an toradh céanna ó threo eile: atógáiltear an mhapáil timpeall seoladh nua, agus díríonn an sean-chomhlachas slándála anois ar thúpl nach bhfuil ann a thuilleadh. Baineann iompar athnascaidh le cur i bhfeidhm an chliaint, agus sin an fáth a n-oibríonn “athnasc tar éis an ródaire a atosú” ar chliant amháin agus a dteastaíonn lasc láimhe ó chliant eile.

Is fadhb dhifriúil é óstáil taobh thiar de NAT grád iompróra

Más mian leat freastalaí L2TP/IPsec a óstáil sa bhaile agus teacht air ón taobh amuigh, is é an riachtanas inrochtaineacht ionchuir gan iarraidh, agus ní hé sin a sholáthraíonn NAT-traversal. Ciallaíonn NAT grád iompróra os comhair do ródaire nach bhfuil aon chalafort is féidir leat a chur ar aghaidh a dhéanfaidh inrochtana thú, toisc go bhfuil an seoladh poiblí roinnte agus go bhfuil an mhapáil amach amháin.

Ní athraíonn aon bhosca IPsec pass-through sin, agus ní chúitíonn aon mhéid cumraíochta cliaint é. Is iad na freagraí a dtacaítear leo seoladh atá inrochtana i ndáiríre, críochphointe óstáilte, nó ailtireacht ina ndéanann gach rannpháirtí nasc amach. An tsonraíocht ionchochlaithe UDP réitíonn sí an fhadhb aistrithe do shreafaí atá ann; ní chruthaíonn sí cosán ionchuir mar nach dtairgeann an t-iompróir ceann.

Mar sin déan comparáid idir líonraí seachas buille faoi thuairim a thabhairt. Tóg an gléas agus an phróifíl chéanna chuig líonra ceadaithe eile agus féach cén chéim a theipeann ansin. Má oibríonn sé in áit eile, tá an difríocht sa chosán, agus cúngaíonn sin an cuardach go dtí na trí chéim thuas seachas an chumraíocht iomlán.