L2TP/IPsec ta hanyar NAT: me ke karyewa da gaske kuma me ya sa

Maganar cewa NAT na karya L2TP/IPsec rabin gaskiya ce saboda haka ba ta da amfani. Canza adireshi abu ne na yau da kullum, NAT traversal ya wanzu domin ya tsira daga gare shi, kuma miliyoyin abokan ciniki suna haɗawa kullum daga bayan na'urar sadarwa. Abin da ke karyewa shine takamaiman mataki na takamaiman musayar: IKE ba ya samun amsa, ana watsi da ramin da aka rufe da tsarin da ke ba da izinin yare ɗaya kawai, ko kuma taswirar fassarar ta ƙare yayin da ramin ba ya aiki. Da zarar ka san wace mataki kake, gyaran yawanci doka ɗaya ce ko keepalive maimakon sabon tsarin VPN.

Tatsuniya ita ce tambayar da ba daidai ba

Tambayar da ta dace ba “shin NAT na karya wannan” ba ce, sai dai “wane sashe na musayar ake fassarawa, kuma me na'urar da ke fassarawa take yi da shi”. L2TP/IPsec yare ne mai matakai: IKE na yin shawara, ESP na karewa, kuma L2TP yana ɗaukar PPP cikin wannan kariyar. Canza adireshi yana shafar kowane mataki daban, kuma ana iya bambance alamun gazawa idan ka duba matakin shawara maimakon taga kuskure.

Na'urar da ke buɗe shafukan yanar gizo cikin nasara tana tabbatar da cewa TCP tare da canza tashar tushe na aiki kawai. Ba ta faɗin komai game da UDP 500, UDP 4500 ko yaren 50, kuma waɗannan abubuwa uku ne wannan shirin ya dogara da su.

Mataki 1: IKE dole ya sami amsa kwata-kwata

Musayar farko tana zuwa ga mai amsawa a UDP 500. Idan babu amsa da ta dawo, babu wani abin da ke da muhimmanci: maɓallin da aka raba tun farko, shawara da bayanan shiga duk sun kasance ba a karanta su ba. Ka lura da buƙatar da amsar maimakon yin hasashe daga lokacin jira na abokin ciniki:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Buƙata ba tare da amsa ba yawanci tana nufin firewall ko mai ba da sabis na sama yana watsar da faƙit ɗin, ba wai uwar garken ya ƙi shi ba. Amsa da ɗauke da sanarwa da ke ambaton shawara ko matsalar takardar shaida tana nufin faƙit ɗin sun iso kuma shawarar ta gaza saboda abun ciki, wanda gyara ne daban.

Lokacin da ɓangarorin biyu suke bayan fassara, mai farawa yana buƙatar isa ga mai amsawa kawai, saboda haka yawancin shirye-shiryen ɓangaren abokin ciniki suna aiki daga mataki 1. Ɗaukar uwar garken ita ce inda matsalar shigowa ke farawa, kuma shi ne dalilin da ya sa bai kamata a taɓa tattauna waɗannan yanayi biyu a matsayin ɗaya ba.

Mataki 2: rufewa yana canza abin da firewall ke gani

ESP yaren IP ne, ba tashar TCP ko UDP ba, kuma canza adireshin tasha na yau da kullum ba shi da filin tasha da zai sake rubutawa. Shi ya sa NAT traversal ke mayar da kayan da aka kare cikin UDP 4500: rufewar tana ba na'urar da ke fassarawa wani abu da ta san yadda za ta fassara. Da zarar hakan ya faru, dokar firewall da aka rubuta don UDP 500 kawai za ta ba da izinin shawarar kuma ta watsar da ramin, wanda ke haifar da sakamakon rikicewa inda rajistan ya nuna mataki 1 cikin nasara kuma babu zirga-zirga.

Musayar IKE kanta ma tana iya ƙaura zuwa UDP 4500 bayan an gano NAT, wanda ke ba mutanen da suka ba da izinin 500 kawai mamaki. Ba da izinin tashoshin biyu a duk kwatance a hanya, kuma ka tuna cewa firewall mai yanayi zai iya riƙe kwararar har sai ya ga zirga-zirga.

Yaren 50 har yanzu yana da muhimmanci a hanyoyin da babu fassara, da kuma hanyoyin da aka saita na'urar tsakiya don ba da izininsa. Idan kana bincikar cutar ta hanyar cirewa, kashe hasashen maimakon ƙara dokoki a jeri: ba da izinin 500, 4500 da ESP, tabbatar ramin ya tashi, sannan cire abin da ya zama ba dole ba. Dokar da babu wanda zai iya bayaninta ita ce dokar da babu wanda zai cire ta idan ta zama sanadin tabarbarewar gaba. Rubuta ƙuntatawa cikin rikodin canji tare da matakin da ta gyara, domin injiniya na gaba ya fara daga shaidarka maimakon wannan ka'idar yatsa.

Mataki 3: taswirar tana ƙarewa kuma ramin yana mutuwa

Na'urar da ke fassarawa tana riƙe da yanayi ga kwararorin da take turawa, kuma wannan yanayin yana da tsawon rayuwa. Ramin L2TP/IPsec ba ya ɗaukar zirga-zirga da yawa lokacin da babu wanda ke amfani da shi, saboda haka ramin da ba ya aiki zai iya wuce taswirarsa kuma ya daina karɓar zirga-zirgar dawowa. Abokin ciniki ya kasance yana tunanin yana haɗe, uwar garken ba ta ganin komai, kuma alamar farko yawanci ita ce ƙarewar lokaci na manhaja ba kuskuren VPN ba.

Gano abokin da ya mutu da keepalive na NAT sun wanzu domin wannan, kuma dole ɓangarorin biyu su yarda su aika su. Idan uwar garkenka tana bayan fassara, abin da ake buƙata a ɓangaren Windows shine saitin rijista da aka rubuta wanda ke sa uwar garken ta ɗauki rufewar UDP ga faƙit ɗinta masu fita; ba tare da shi ba, mai amsawa yana aika ESP wanda na'urar fassara ba za ta iya taswira baya ba. Wannan batun saitin uwar garken ne, ba na abokin ciniki ba.

Canjin adireshin WAN yana haifar da sakamako ɗaya daga wata hanya: ana sake gina taswirar a kusa da sabon adireshi, kuma tsohuwar ƙungiyar tsaro yanzu tana nuni ga jerin da babu shi. Halin sake haɗawa na aiwatar da abokin ciniki ne, kuma shi ya sa “sake haɗawa bayan an sake kunna na'urar sadarwa” ke aiki a wani abokin ciniki kuma a wani yana buƙatar tuɓe da hannu.

Ɗaukar gida bayan NAT na matakin kamfanin sadarwa matsala ce daban

Idan kana so ka ɗauki uwar garken L2TP/IPsec a gida kuma ka isa gare ta daga waje, abin da ake buƙata shine isar da shigowa ba tare da an nemi ba, kuma wannan ba shine abin da NAT traversal ke bayarwa ba. NAT na matakin kamfanin sadarwa a gaban na'urar sadarwarka yana nufin babu tashar da za ka tura da za ta sa a isa gare ka, domin adireshin jama'a ana rabawa kuma taswirar fita ce kawai.

Babu wani akwatin IPsec pass-through da zai canza hakan, kuma babu adadin saitin abokin ciniki da zai biya diyya. Amsoshin da aka goyi bayan su ne adireshi da ake isa da gaske, wurin ƙarshe da aka ɗauki, ko tsarin da kowane ɗan takara ke yin haɗin fita. Ƙayyadaddun rufewar UDP yana magance matsalar fassara ga kwararorin da suke, ba ya ƙirƙirar hanyar shigowa inda kamfanin sadarwa ba ya bayar da ɗaya.

Don haka kwatanta cibiyoyin sadarwa maimakon yin hasashe. Ɗauki na'urar da bayanin martaba ɗaya zuwa wata cibiyar da aka yarda da ita ka duba wane mataki ke gaza a can. Idan ya yi aiki a wani wuri, bambancin yana cikin hanya, kuma hakan yana taƙaita bincike ga matakai uku na sama maimakon duk saitin.