strongSwan ESP-in-UDP: nuair nach bhfuil NAT le sonrú

Freagraíonn braite NAT ceist amháin: ar athraigh na seoltaí nó na calafoirt ar an mbealach? Ní fhreagraíonn sé an gceadaíonn balla dóiteáin prótacal IP 50. Is féidir le geataí suímh gan aon aistriú a bheith fós taobh thiar de bheartas a scaoileann native ESP, agus caithfear an ceanglas sin a chumrú seachas a aimsiú. Is é ESP-in-UDP an meicníocht, agus is cinneadh é seachas rogha chúltaca a thagann chun cinn leis féin.

Is uimhríocht ar sheoltaí é braite, ní probe balla dóiteáin

Iompraíonn IKEv2 ualaí braite NAT ina bhfuil haiseanna de na seoltaí agus de na calafoirt fhoinse agus chinn scríbe. Déanann gach taobh comparáid idir an rud a fuair sé agus an rud a fheiceann sé go háitiúil, agus insíonn neamhréir dó gur aistrigh rud éigin an paicéad. Ní dhéanann aon rud sa mhalartú sin tástáil an seolann ródaire sa lár prótacal 50 ar aghaidh.

Is fiú an iarmhairt phraiticiúil a rá go díreach. Ní aimseoidh tollán a d'oibrigh le native ESP balla dóiteáin nua shriantach leis féin, agus teipeann ar a chéad iarracht eile ag an gcéim sonraí agus IKE fós ag éirí leis. Feicfidh tú comhlachais slándála IKE bunaithe agus gan aon trácht cosanta, rud a fhéachann le locht ródaithe go dtí go nglacann tú ar an sreang.

Tá an t-imchochlú mar sin ina shaintréith den nasc a chumraíonn tú, ní ina thoradh a ndéanann na piaraí a chaibidliú ó iompar an líonra.

Conas a athraíonn encap an malartú

I suiteáil nua-aimseartha strongSwan a bhainistítear trí swanctl.conf, déanann an socrú encap = yes ar an nasc difear don mhalartú braite NAT ionas go n-úsáideann an dá phiar imchochlú UDP le haghaidh ESP. Taistealaíonn na paicéid chosanta ansin laistigh de UDP, go hiondúil ar chalafort 4500, agus caithfidh an dá cheann comhaontú ar an socrú sin.

connections {
    site {
        encap = yes
        # existing approved peer, authentication and child settings
    }
}

Baineann an blúire sin le fíorshainmhíniú naisc agus ní próifíl suímh iomlán é. Coinnigh na seoltaí piaraí, an fhíordheimhniú agus na roghnóirí tráchta child a ritheann tú cheana; ní athraíonn an eochair amháin a cuireadh leis ach conas a fhilltear na sonraí cosanta, ní cad a chosnaíonn sé.

Déanann treoir strongSwan ar NAT-traversal cur síos ar an iompar seo, lena n-áirítear an idirghníomhú le calafort ar snámh nuair a úsáidtear MOBIKE.

Úsáid an socrú a bhaineann le do backend

Tá dhá backend cumraíochta ag strongSwan, agus tá an eochair difriúil eatarthu. Glacann swanctl.conf nasc le encap, agus glacann ipsec.conf nasc níos sine le forceencaps. Má chuirtear eochairfhocal backend amháin sa cheann eile, cruthaítear cumraíocht a luchtaítear gan ghearán agus nach n-athraíonn aon rud, rud atá níos measa ná earráid.

Seiceáil cén daemon atá ag rith i ndáiríre sula n-eagraíonn tú aon rud. I go leor dáileachán tá an dá chomhad ann mar gur iarsma ó mhaorlathú níos luaithe ceann acu, agus is é an ceann gníomhach an ceann a thosaíonn an t-aonad seirbhíse. Léigh an t-aonad sin seachas buille faoi thuairim a thabhairt ó stampaí ama comhad. Coimeádann seiceáil cúig soicind anseo ó uaireanta a chaitheamh ag tástáil socrú nach luchtaigh aon rud.

Cuir an t-athrú i bhfeidhm trí úinéir an naisc agus athbhunaigh an comhlachas le linn fuinneoige rialaithe. Coinníonn child atá suiteáilte cheana a imchochlú reatha go dtí go ndéantar é a athsholáthar, mar sin ní chruthaíonn eagarthóireacht comhaid amháin go bhfuil an socrú nua in úsáid.

Fíoraigh na sonraí fillte, ní hamháin an calafort

Glac ar an ngeata agus trácht cosanta ag sreabhadh, ansin cuir é sin i gcomparáid le radharc strongSwan féin:

$ sudo tcpdump -ni eth0 'udp port 4500' -c 20
$ sudo swanctl --list-sas --ike site
$ sudo ip xfrm state list

Feictear native ESP mar phrótacal IP 50 agus ní fhéachann sé faic cosúil le UDP. Feictear ESP fillte mar dhatagraim UDP ar 4500 nach é IKE a n-ualaí. Ní cruthúnas imchochlaithe é trácht IKE ar an gcalafort céanna, mar is féidir le MOBIKE IKE a bhogadh ansin agus an chonair sonraí fós native, mar sin léigh an t-ualach, ní uimhir an chalafoirt.

Coinnigh MTU na conaire i gcuimhne freisin. Cuireann an fillteán forchostas leis, agus b'fhéidir go mbeidh coigeartuithe ag teastáil ó chonair a d'iompair native ESP nuair a fhásann na paicéid. Ba chóir láimhseáil ICMP riachtanach a bheith mar chuid den dearadh cheana; ní bhainfidh imchochlú an spleáchas sin.

Glac leis an athrú nuair a fheictear trácht nua feidhmchlár laistigh den tollán sa ghabháil mar ESP fillte ag an dá cheann, agus nuair a oibríonn an tseirbhís inmheánach agus a conair fillte fós. Aon rud níos lú is cumraíocht í a fhéachann ceart i gcomhad.