Ինչպես է NAT-ով անցումը փաթաթում ESP-ն UDP-ի մեջ

Երկու հաճախորդներ նույն երթուղիչի հետևում խոսում են մեկ IPsec դարպասի հետ, և մեկը շարունակ ընկնում է, մինչդեռ մյուսը մնում է միացված։ Բնիկ ESP-ն IP 50 արձանագրությունն է՝ առանց պորտերի, ուստի թարգմանիչը ոչինչ չունի քարտեզագրումը ամրացնելու, երբ մի քանի հաճախորդ կիսում են մեկ հասցե։ NAT-ով անցումը փակում է այդ բացը՝ փաթաթելով ESP-ն UDP-ի մեջ 4500-ում, և այդ վերնագիրը բացատրում է հաջորդող ախտանիշների մեծ մասը։ Այն նաև մատնանշում է այն սարքը, որը պետք է փոխվի։

Ինչու է տվյալների հարթությունը տեղափոխվում 4500 պորտ

Կարգավորման ընթացքում IKEv2-ը համեմատում է հասցեները և պորտերը, որոնք յուրաքանչյուր կողմ համարում է, թե օգտագործում է՝ փոխանակելով հեշեր իր NAT-ի հայտնաբերման ծանուցումներում։ Երբ հեշերը չեն համընկնում, ուղու ինչ-որ տեղ թարգմանիչ է նստած, և երկու կողմերն էլ պաշտպանված երթևեկությունը տեղափոխում են UDP-ի փաթաթման։ Այդ պատճառով թարգմանչի հանդիպած սեսիան տարբերվում է չհանդիպածից։

Փաթաթումը ծրար է, ոչ թե արձանագրության փոփոխություն՝ ESP-ն պահպանում է իր վերնագիրը, ամբողջականության ստուգումը և գաղտնագրումը, իսկ UDP-ն տրամադրում է միայն այն պորտերը, որոնք անհրաժեշտ են թարգմանչին։ 500 պորտը կրում է IKE փոխանակումը, 4500-ը՝ հայտնաբերումից հետո փաթաթված տվյալները, և հաճախ նաև ավելի ուշ IKE հաղորդագրությունները։ Պորտերից ոչ մեկը հոսքը TCP միացում չի դարձնում, այն ենթադրությունը, որը մոլորեցնում է գրավում կարդացող մարդկանց մեծ մասին։

Ստուգեք երկու փուլերը հերթականությամբ

Նախ ապացուցեք կառավարման փոխանակումը, ապա տվյալների ուղին, և երկուսը առանձին պահեք ձեր նշումներում։ Գրավումը, որը ցույց է տալիս երթևեկություն 500-ում և երբեք 4500-ում, սովորաբար նշանակում է, որ տվյալների ուղին զտված է, ուստի ուղղումը պատկանում է հրապատի կանոնին, ոչ թե հաճախորդին։

Հետևեք երկու պորտերին tcpdump -ni any 'udp port 500 or udp port 4500'-ով, և կարդացեք երթուղիչի թարգմանության աղյուսակը, քանի դեռ սեսիան կենդանի է։ Այդ աղյուսակը ցույց է տալիս աղբյուրի պորտը, որը դարպասը իրականում կտեսնի, և նոթբուքի գրավումը դիտմամբ չի համընկնում՝ նոթբուքը կարծում է 500, մինչդեռ դարպասը տեսնում է 4500 թարգմանված աղբյուրի պորտով, և երկուսն էլ ճիշտ են։ Նույն հոսքը՝ թարգմանությունից առաջ և հետո՝

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Ախտանիշներ, որոնք փաթաթումը բացատրում է, և երկու, որոնք չի բացատրում

Երթուղիչ, որը թույլ է տալիս կառավարման փոխանակումը և արգելափակում փաթաթված տվյալները ստեղծում է «թունելը բարձրացված է, բայց ոչինչ չի անցնում» զեկույցը։ Քարտեզագրման աղյուսակները ժամկետանց են դառնում, ուստի պարապ սեսիային անհրաժեշտ է կենդանի պահող երթևեկություն, որը կողմերը դիտմամբ են ուղարկում, և այդ փաթեթները առողջության ստուգումներ չեն։ Երբ մեկ դարպասի հետևի մի քանի հաճախորդ միասին ձախողվում են, ուսումնասիրեք այդ դարպասի թարգմանությունը և ցանկացած հին անցումային հատկություն։ Փաթաթումը չի բացատրում հավելված, որը ձախողվում է բոլոր հաճախորդների մոտ թունելը բարձրացնելուց հետո, ոչ էլ արգելափակման էջի վկայագրի նախազգուշացումը։ երկուսն էլ այս շերտից վեր են։

Կարդացեք քարտեզագրման աղյուսակը միանգամից երկու հաճախորդի համար՝ եթե երկուսն էլ ցույց են տալիս նույն թարգմանված պորտը, սարքը նրանց չի առանձնացնում այնպես, ինչպես պահանջում է դարպասը։ Անցումային ռեժիմը, որը բնիկ ESP-ն տալիս է միայն մեկ հոսթի, համարժեք չէ մի քանի թարգմանված հաճախորդների սպասարկմանը, թեև վաճառողները երկուսն էլ նկարագրում են որպես IPsec-ի հետ բարեկամական։ Կրկնակի NAT-ը ավելացնում է քարտեզագրման շերտ և ևս մեկ ժամկետավորման կետ, բայց այն ինքնաբերաբար չի կոտրում ելքային միացումները։

Կենդանի պահող երթևեկությունը արժանի է իր սեփական տողին գործառնական ձեռնարկում, որովհետև հենց այն է բաց պահում պատասխանի ուղին պարապ ժամանակահատվածներում։ Միացրեք այն այնտեղ, որտեղ վաճառողը փաստաթղթավորել է այն, և առաջինը ստուգեք այն, երբ սեսիան մահանում է մի քանի րոպե լռությունից հետո, ոչ թե առաջին օգտագործման ժամանակ։

Փոխեք քարտեզագրման սեփականատիրոջը, ապա նորից փորձարկեք

Հետևեք երկու կողմերում աջակցվող NAT-ով անցման կարգավորումներին՝ պորտը գուշակելու փոխարեն։ Մեկ հաճախորդի վրա տեղական աղբյուրի պորտը խմբագրելը չի կարող փոխել հեռավոր ծայրում լսող ծառայությունը, և սովորաբար կոտրում է արդեն կառուցված քարտեզագրումը։ Եթե հաճախորդը գտնվում է ձեր չվերահսկվող սարքի հետևում, փոփոխությունը պատկանում է դրա սեփականատիրոջը։

Ցանկացած փոփոխությունից հետո կրկնեք երկու փուլերի ստուգումները և հաստատեք, որ տվյալների փաթեթն անցնում է, ոչ միայն այն, որ կարգավիճակի էկրանը կանաչեց։ Պահեք թիփլերը, քարտեզագրման աղյուսակի ելքը և կանոնի փոփոխությունը մեկ նշումում, որպեսզի հաջորդ մարդը նորից չսկսի կառավարման փոխանակումից։ strongSwan-ի նշումները NAT-ով անցման մասին ընդգրկում են փաթաթման և կենդանի պահելու կարգավորումները երկու փուլերի հետևում։