Hogyan csomagolja a NAT-traversal az ESP-t UDP-be

Két kliens ugyanazon router mögött egyetlen IPsec-átjáróval beszél, és az egyik folyton kiesik, míg a másik kapcsolatban marad. A natív ESP az 50-es IP-protokoll portok nélkül, így a fordítónak nincs mire lehorgonyoznia egy leképezést, amikor több kliens osztozik egy címen. A NAT-traversal ezt a rést az ESP 4500-on UDP-be csomagolásával zárja be, és ez a fejléc magyarázza a legtöbb következő tünetet. Arra az eszközre is rámutat, amelyet módosítani kell.

Miért költözik az adatsík a 4500-as portra

A beállítás során az IKEv2 összehasonlítja azokat a címeket és portokat, amelyeket az egyes felek használni vélnek, kivonatokat cserélve a NAT-felderítési értesítéseikben. Amikor a kivonatok eltérnek, valahol az útvonalon egy fordító ül, és mindkét fél az UDP-burkocolásra váltja a védett forgalmat. Ezért néz ki másként egy olyan munkamenet, amely találkozott fordítóval, mint amelyik nem.

A csomagolás egy boríték, nem protokollváltás: Az ESP megtartja a fejlécét, az integritás-ellenőrzését és a titkosítását, az UDP pedig csak azokat a portokat biztosítja, amelyekre a fordítónak szüksége van. Az 500-as port szállítja az IKE-cserét; a 4500-as a felderítés utáni beágyazott adatokat, és gyakran a későbbi IKE-üzeneteket is. Egyik port sem tesz egy TCP-kapcsolatot a folyamból, ez a feltevés téveszti meg a legtöbb embert, aki rögzítést olvas.

Ellenőrizze a két szakaszt sorrendben

Először a vezérlőcserét bizonyítsa, aztán az adatútvonalat, és a kettőt tartsa külön a jegyzeteiben. Az a rögzítés, amely forgalmat mutat az 500-on és soha a 4500-on, általában azt jelenti, hogy az adatútvonal szűrve van, tehát a javítás a tűzfal-szabályba való, nem a kliensbe.

Figyelje mindkét portot a következővel: tcpdump -ni any 'udp port 500 or udp port 4500', és olvassa az átjáró fordítási táblázatát, amíg a munkamenet él. Az a táblázat mutatja a forrásportot, amelyet az átjáró valóban látni fog, és a laptopon készült rögzítés tervezés szerint eltér: a laptop 500-at hisz, míg az átjáró 4500-at lát lefordított forrásporttal, és mindkettő helyes. Ugyanaz a folyam, fordítás előtt és után:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Tünetek, amelyeket a csomagolás megmagyaráz, és kettő, amelyeket nem

Egy router, amely engedélyezi a vezérlőcserét és blokkolja a beágyazott adatokat létrehozza azt a jelentést, hogy az alagút áll, de semmi sem megy át. A leképezési táblák lejárnak, ezért az inaktív munkamenetnek életben tartó forgalomra van szüksége, amelyet a felek szándékosan küldenek, és ezek a csomagok nem egészség-ellenőrzések. Amikor több kliens egy átjáró mögött egyszerre hibázik, vizsgálja meg annak az átjárónak a fordítását és bármilyen örökölt átengedési funkciót. A csomagolás nem magyarázza meg azt az alkalmazást, amely az alagút felállása után minden kliensnél hibázik, sem a blokkoló oldalon megjelenő tanúsítványfigyelmeztetést; mindkettő e réteg fölött van.

Olvassa a leképezési táblát egyszerre két kliensre: ha mindkettő ugyanazt a lefordított portot mutatja, az eszköz nem választja szét őket úgy, ahogy az átjáró megköveteli. Az az átengedési mód, amely a natív ESP-t csak egy gazdagépnek adja át, nem egyenértékű több lefordított kliens kiszolgálásával, bár a gyártók mindkettőt IPsec-barátként írják le. A kettős NAT hozzáad egy leképezési réteget és még egy lejárati pontot, de nem szakítja meg automatikusan a kimenő kapcsolatokat.

Az életben tartó forgalom saját sort érdemel az üzemeltetési kézikönyvben, mert ez tartja nyitva a válaszútvonalat a tétlenségi időszakokban. Engedélyezze ott, ahol a gyártó dokumentálja, és először azt ellenőrizze, amikor egy munkamenet néhány perc csend után hal meg, nem az első használatkor.

Változtassa meg a leképezés tulajdonosát, majd tesztelje újra

Kövesse mindkét félen a támogatott NAT-traversal-beállításokat, ahelyett hogy portot találgatna. A helyi forrásport szerkesztése egy kliensen nem változtathatja meg a túloldalon figyelő szolgáltatást, és általában elrontja a már felépített leképezést. Ha a kliens egy Ön által nem vezérelt eszköz mögött van, a változtatás annak tulajdonosáé.

Bármilyen változtatás után ismételje meg mindkét szakaszellenőrzést, és erősítse meg, hogy egy adatcsomag átmegy, nem csak azt, hogy az állapotképernyő zöld lett. Tartsa a tuple-öket, a leképezési táblázat kimenetét és a szabálymódosítást egy jegyzetben, hogy a következő ember ne kezdje újra a vezérlőcserével. A strongSwan NAT-traversal jegyzetei lefedik a burkolási és életben tartási beállításokat mindkét szakasz mögött.