Cara traversal NAT membungkus ESP di dalam UDP

Dua klien di belakang router yang sama berbicara dengan satu gateway IPsec, dan yang satu terus terputus sementara yang lain tetap terhubung. ESP asli adalah protokol IP 50 tanpa porta, sehingga penerjemah tidak punya apa pun untuk dijadikan dasar pemetaan ketika beberapa klien berbagi satu alamat. Traversal NAT menutup celah itu dengan membungkus ESP dalam UDP pada 4500, dan tajuk itu menjelaskan sebagian besar gejala berikutnya. Ini juga menunjuk perangkat yang harus diubah.

Mengapa bidang data pindah ke porta 4500

Selama penyiapan, IKEv2 membandingkan alamat dan porta yang diyakini digunakan tiap pihak, dengan bertukar hash dalam notifikasi deteksi NAT. Bila hash tidak cocok, ada penerjemah di suatu tempat di jalur, dan kedua peer mengalihkan lalu lintas terlindungi ke enkapsulasi UDP. Itulah sebabnya sesi yang bertemu penerjemah terlihat berbeda dari yang tidak.

Pembungkus itu sebuah amplop, bukan perubahan protokol: ESP mempertahankan tajuk, pemeriksaan integritas, dan enkripsinya, dan UDP hanya menyediakan porta yang dibutuhkan penerjemah. Porta 500 membawa pertukaran IKE; 4500 membawa data terenkapsulasi setelah deteksi, dan sering juga pesan IKE berikutnya. Tidak satu pun porta membuat aliran itu menjadi koneksi TCP, anggapan yang menyesatkan sebagian besar orang yang membaca tangkapan.

Periksa dua tahap secara berurutan

Buktikan dulu pertukaran kontrol, lalu jalur data, dan pisahkan keduanya dalam catatan Anda. Tangkapan yang menunjukkan lalu lintas pada 500 dan tidak pernah pada 4500 biasanya berarti jalur data tersaring, jadi perbaikannya ada pada aturan firewall, bukan pada klien.

Pantau kedua porta dengan tcpdump -ni any 'udp port 500 or udp port 4500', dan baca tabel terjemahan di router selagi sesi aktif. Tabel itu menunjukkan porta sumber yang benar-benar akan dilihat gateway, dan tangkapan di laptop berbeda secara desain: laptop meyakini 500 sedangkan gateway melihat 4500 dengan porta sumber yang diterjemahkan, dan keduanya benar. Aliran yang sama, sebelum dan sesudah terjemahan:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Gejala yang dijelaskan pembungkus, dan dua yang tidak

Router yang mengizinkan pertukaran kontrol dan memblokir data terenkapsulasi menghasilkan laporan bahwa terowongan naik tetapi tidak ada yang lewat. Tabel pemetaan kedaluwarsa, jadi sesi diam membutuhkan lalu lintas penyambung yang dikirim peer dengan sengaja, dan paket itu bukan pemeriksaan kesehatan. Bila beberapa klien di belakang satu gateway gagal bersamaan, periksa terjemahan gateway itu dan fitur passthrough lama apa pun. Pembungkus tidak menjelaskan aplikasi yang gagal pada semua klien setelah terowongan naik, atau peringatan sertifikat di halaman pemblokiran; keduanya berada di atas lapisan ini.

Baca tabel pemetaan untuk dua klien sekaligus: bila keduanya menunjukkan porta terjemahan yang sama, perangkat tidak memisahkan keduanya seperti yang diminta gateway. Mode passthrough yang menyerahkan ESP asli hanya ke satu host tidak setara dengan melayani beberapa klien yang diterjemahkan, meskipun vendor menyebut keduanya ramah IPsec. NAT ganda menambah lapisan pemetaan dan satu titik kedaluwarsa lagi, tetapi tidak secara otomatis memutus koneksi keluar.

Lalu lintas penyambung layak mendapat barisnya sendiri dalam buku panduan operasi, karena itulah yang menahan jalur balasan tetap terbuka selama periode diam. Aktifkan di tempat vendor mendokumentasikannya, dan periksa itu lebih dulu ketika sesi mati setelah beberapa menit hening, bukan pada penggunaan pertama.

Ubah pemilik pemetaan, lalu uji ulang

Ikuti pengaturan traversal NAT yang didukung pada kedua peer alih-alih menebak porta. Mengubah porta sumber lokal pada satu klien tidak dapat mengubah layanan yang mendengarkan di ujung jauh, dan biasanya merusak pemetaan yang sudah terbentuk. Bila klien berada di belakang perangkat yang tidak Anda kendalikan, perubahan itu milik pemiliknya.

Setelah perubahan apa pun, ulangi kedua pemeriksaan tahap dan pastikan paket data lewat, bukan sekadar layar status berubah hijau. Simpan tuple, keluaran tabel pemetaan, dan perubahan aturan dalam satu catatan, agar orang berikutnya tidak memulai lagi dari pertukaran kontrol. Catatan strongSwan tentang traversal NAT mencakup pengaturan enkapsulasi dan penyambung di balik kedua tahap.