Kako NAT prolaz umotava ESP unutar UDP-a

Dva klijenta iza istog usmjerivača razgovaraju s jednim IPsec pristupnikom, i jedan stalno pada dok drugi ostaje stabilan. Izvorni ESP je IP protokol 50 bez portova, pa prevoditelj nema što vezati mapiranje kada više klijenata dijeli jednu adresu. NAT prolaz zatvara tu prazninu umatajući ESP u UDP na 4500, i to zaglavlje objašnjava većinu simptoma koji slijede. Ono također pokazuje na uređaj koji treba promijeniti.

Zašto se ravnina podataka premješta na port 4500

Tijekom postavljanja IKEv2 uspoređuje adrese i portove za koje svaka strana vjeruje da ih koristi, razmjenjujući sažetke u svojim obavijestima o otkrivanju NAT-a. Kada se sažeci ne slažu, negdje na putu sjedi prevoditelj, i oba partnera prebacuju zaštićeni promet na UDP enkapsulaciju. Zato sesija koja je naišla na prevoditelja izgleda drukčije od one koja nije.

Omotač je omotnica, a ne promjena protokola: ESP zadržava svoje zaglavlje, provjeru cjelovitosti i šifriranje, a UDP osigurava samo portove koji su prevoditelju potrebni. Port 500 nosi IKE razmjenu; 4500 nosi enkapsulirane podatke nakon otkrivanja, a često i kasnije IKE poruke. Nijedan port ne čini tok TCP vezom, a upravo ta pretpostavka zavarava većinu ljudi koji čitaju snimku.

Provjerite dva stupnja redom

Prvo dokažite kontrolnu razmjenu, zatim putanju podataka, i držite to dvoje odvojeno u bilješkama. Snimka koja prikazuje promet na 500 i nikada na 4500 obično znači da je putanja podataka filtrirana, pa ispravak pripada pravilu vatrozida, a ne klijentu.

Nadzirite oba porta pomoću tcpdump -ni any 'udp port 500 or udp port 4500' i čitajte tablicu prevođenja na usmjerivaču dok je sesija aktivna. Ta tablica prikazuje izvorni port koji će pristupnik zaista vidjeti, a snimka na prijenosniku se po dizajnu ne slaže: prijenosnik vjeruje da je 500 dok pristupnik vidi 4500 s prevedenim izvornim portom, i oba su točna. Isti tok, prije i poslije prevođenja:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptomi koje omotač objašnjava, i dva koja ne objašnjava

Usmjerivač koji dopušta kontrolnu razmjenu i blokira enkapsulirane podatke daje izvještaj „tunel je podignut, ali ništa ne prolazi“. Tablice mapiranja istječu, pa neaktivna sesija treba promet održavanja koji partneri šalju namjerno, i ti paketi nisu zdravstvene provjere. Kada više klijenata iza jednog pristupnika padne zajedno, ispitajte prevođenje tog pristupnika i bilo koju naslijeđenu funkciju propuštanja. Omotač ne objašnjava aplikaciju koja pada kod svakog klijenta nakon podizanja tunela, ni upozorenje o certifikatu na stranici blokade; oboje je iznad ovog sloja.

Čitajte tablicu mapiranja za dva klijenta odjednom: ako oba pokazuju isti prevedeni port, uređaj ih ne razdvaja onako kako pristupnik zahtijeva. Način propuštanja koji daje izvorni ESP samo jednom hostu nije jednak posluživanju više prevedenih klijenata, iako prodavači oba opisuju kao prijateljske prema IPsec-u. Dvostruki NAT dodaje sloj mapiranja i još jednu točku isteka, ali ne prekida automatski odlazne veze.

Promet održavanja zaslužuje svoj red u operativnom priručniku, jer upravo on drži povratnu putanju otvorenom kroz razdoblja mirovanja. Uključite ga tamo gdje ga prodavač dokumentira, i provjerite ga prvo kada sesija umre nakon nekoliko minuta tišine, a ne pri prvoj upotrebi.

Promijenite vlasnika mapiranja, pa ponovno testirajte

Slijedite podržane postavke NAT prolaza na oba partnera umjesto da pogađate port. Uređivanje lokalnog izvornog porta na jednom klijentu ne može promijeniti uslugu koja sluša na drugoj strani, i obično kvari već izgrađeno mapiranje. Ako klijent stoji iza uređaja koji ne kontrolirate, promjena pripada njegovom vlasniku.

Nakon svake promjene ponovite obje provjere stupnja i potvrdite da podatkovni paket prolazi, a ne samo da je zaslon stanja postao zelen. Držite tuple, izlaz tablice mapiranja i promjenu pravila u jednoj bilješci, da sljedeća osoba ne počne ponovno od kontrolne razmjene. Bilješke strongSwan-a o NAT prolazu pokrivaju postavke enkapsulacije i održavanja iza oba stupnja.