Hvernig yfirferð NAT umlykur ESP inni í UDP

Tveir biðlarar bak við sama beini tala við eina IPsec-gátt, og annar dettur sífellt út á meðan hinn heldur sambandi. Innfæddur ESP er IP-samskiptareglan 50 án porta, svo þýðandi hefur ekkert til að festa vörpun á þegar margir biðlarar deila einu vistfangi. Yfirferð NAT lokar þessu bili með því að umlykja ESP í UDP á 4500, og sá haus útskýrir flest einkennin sem fylgja. Hún bendir einnig á tækið sem þarf að breyta.

Hvers vegna gagnasviðið flyst á port 4500

Við uppsetninguna ber IKEv2 saman vistföngin og portin sem hvor hlið telur sig nota, með því að skiptast á hakningum í NAT-greiningartilkynningum sínum. Þegar hakningarnir stemma ekki situr þýðandi einhvers staðar á leiðinni, og báðir jafningjar færa hið varðaða umferð yfir í UDP-umlykju. Þess vegna lítur lota sem rakst á þýðanda öðruvísi út en sú sem gerði það ekki.

Umlykjan er umslag, ekki samskiptareglubreyting: ESP heldur hausnum, heilleikaprófuninni og dulkóðuninni, og UDP veitir aðeins þau port sem þýðandinn þarf. Port 500 ber IKE-samskiptin; 4500 ber umlyktu gögnin eftir greiningu, og oft einnig síðari IKE-skilaboðin. Hvort portið sem er gerir flæðið ekki að TCP-tengingu, sú forsendu blekkir flesta sem lesa upptöku.

Athugaðu stigin tvö í réttri röð

Sannaðu fyrst stjórnsamskiptin, þá gagnaleiðina, og haltu þeim tveimur aðskildum í athugasemdunum. Upptaka sem sýnir umferð á 500 og aldrei á 4500 þýðir venjulega að gagnaleiðin sé síuð, svo leiðréttingin á heima í eldveggjarreglunni en ekki í biðlaranum.

Fylgstu með báðum portunum með tcpdump -ni any 'udp port 500 or udp port 4500', og lestu þýðingartöfluna á beininum meðan lota er lifandi. Taflan sýnir upprunaportið sem gáttin sér í raun, og upptaka á fartölvunni er ósammála að hönnun: fartölvan telur 500 á meðan gáttin sér 4500 með þýddu upprunaporti, og bæði er rétt. Sama flæðið, fyrir og eftir þýðingu:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Einkenni sem umlykjan útskýrir, og tvö sem hún gerir það ekki

Beini sem leyfir stjórnsamskiptin og lokar fyrir umlyktu gögnin framleiðir skýrsluna um að göngin séu uppi en ekkert fari í gegn. Vörpunar-töflur renna út, svo aðgerðalaus lota þarf lífgunarumferð sem jafningjarnir senda viljandi, og þessir pakkar eru ekki heilsuprófanir. Þegar margir biðlarar bak við eina gátt mistakast samtímis, skoðaðu þýðingu þeirrar gáttar og hvaða arfleiða gegnumstreymis-aðgerð sem er. Umlykjan útskýrir ekki forrit sem mistekst hjá hverjum biðlara eftir að göngin eru reist, né skírteinisviðvörun á lokasíðu; hvort tveggja er ofar þessu lagi.

Lestu vörpunar-töfluna fyrir tvo biðlara í einu: ef báðir sýna sama þýdda portið, þá aðskilur tækið þá ekki eins og gáttin krefst. Gegnumstreymisstilling sem afhendir innfæddum ESP aðeins einum vélinni jafngildir ekki þjónustu við marga þýdda biðlara, þótt seljendur lýsi báðum sem IPsec-vænum. Tvöfalt NAT bætir við vörpunarlagi og enn einum útrunnum punkti, en það rýfur ekki útleiðartengingar sjálfkrafa.

Lífgunarumferð á skilið eigin línu í rekstrarhandbókinni, því hún heldur svarleiðinni opinni á aðgerðaleysistímum. Virkjaðu hana þar sem seljandinn skjalfestir hana, og athugaðu hana fyrst þegar lota deyr eftir nokkrar mínútur í þögn frekar en við fyrstu notkun.

Breyttu eiganda vörpunarinnar, og prófaðu svo aftur

Fylgdu studdum yfirferðar-NAT-stillingum á báðum jafningjum í stað þess að giska á port. Að breyta staðbundnu upprunaporti á einum biðlara getur ekki breytt þjónustunni sem hlustar á hinum endanum, og það brýtur venjulega vörpunina sem þegar er byggð. Ef biðlarinn er bak við tæki sem þú stjórnar ekki, tilheyrir breytingin eiganda þess.

Eftir hverja breytingu skaltu endurtaka báðar stigaprófanir og staðfesta að gagnapakki fari í gegn, ekki bara að stöðuskjárinn hafi orðið grænn. Haltu tvíundunum, úttaki vörpunar-töflunnar og reglubreytingunni í einni athugasemd, svo næsta manneskja byrji ekki aftur á stjórnsamskiptunum. Athugasemdir strongSwan um yfirferð NAT ná yfir umlykju- og lífgunarstillingarnar bak við bæði stigin.