როგორ ახვევს NAT-ის გავლა ESP-ს UDP-ში

ერთი და იმავე როუტერის უკან მყოფი ორი კლიენტი ერთ IPsec კარიბჭეს ესაუბრება, და ერთი მუდამ ვარდება, სანამ მეორე დაკავშირებული რჩება. მშობლიური ESP არის IP პროტოკოლი 50 პორტების გარეშე, ამიტომ მთარგმნელს არაფერი აქვს, რასაც დაეყრდნობა რუკების შესაქმნელად, როცა რამდენიმე კლიენტი ერთ მისამართს იზიარებს. NAT-ის გავლა ამ ხარვეზს ხურავს ESP-ის UDP-ში 4500-ზე გახვევით, და ეს სათაური ხსნის შემდგომი სიმპტომების უმეტესობას. ის ასევე მიუთითებს მოწყობილობაზე, რომელიც უნდა შეიცვალოს.

რატომ გადადის მონაცემთა სიბრტყე 4500 პორტზე

კონფიგურაციის დროს IKEv2 ადარებს მისამართებს და პორტებს, რომლებსაც თითოეული მხარე ფიქრობს, რომ იყენებს, თავის NAT-ის ამოცნობის შეტყობინებებში ჰეშების გაცვლით. როცა ჰეშები არ ემთხვევა, გზაზე სადღაც მთარგმნელი ზის, და ორივე მხარე დაცულ ტრაფიკს UDP-ის შეფუთვაზე გადაიყვანს. ამიტომ მთარგმნელთან შეხვედრილ სესიას სხვანაირად გამოიყურება, ვიდრე არ შეხვედრილს.

შეფუთვა კონვერტია, არა პროტოკოლის ცვლილება: ESP ინარჩუნებს თავის სათაურს, მთლიანობის შემოწმებას და დაშიფვრას, და UDP მხოლოდ იმ პორტებს აწვდის, რომლებიც მთარგმნელს სჭირდება. პორტი 500 ატარებს IKE-ის გაცვლას; 4500 ატარებს შეფუთულ მონაცემებს ამოცნობის შემდეგ, და ხშირად ასევე გვიანდელ IKE შეტყობინებებს. არც ერთი პორტი არ აქცევს ნაკადს TCP კავშირად, ეს ვარაუდი აცდუნებს ჩანაწერის მკითხველთა უმეტესობას.

შეამოწმეთ ორი ეტაპი თანმიმდევრობით

ჯერ დაამტკიცეთ კონტროლის გაცვლა, შემდეგ მონაცემთა გზა, და ორივე ცალ-ცალკე შეინახეთ თქვენს ჩანაწერებში. ჩანაწერი, რომელიც აჩვენებს ტრაფიკს 500-ზე და არასოდეს 4500-ზე, ჩვეულებრივ ნიშნავს, რომ მონაცემთა გზა გაფილტრულია, ამიტომ შესწორება ფაირვოლის წესს ეკუთვნის და არა კლიენტს.

თვალყური ადევნეთ ორივე პორტს tcpdump -ni any 'udp port 500 or udp port 4500'-ით, და წაიკითხეთ როუტერზე არსებული თარგმანის ცხრილი, სანამ სესია ცოცხალია. ეს ცხრილი აჩვენებს წყაროს პორტს, რომელსაც კარიბჭე რეალურად დაინახავს, და ლეპტოპზე გადაღებული ჩანაწერი განსხვავდება დიზაინით: ლეპტოპი ფიქრობს 500, სანამ კარიბჭე ხედავს 4500-ს თარგმნილი წყაროს პორტით, და ორივე მართალია. იგივე ნაკადი, თარგმანამდე და შემდეგ:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

სიმპტომები, რომლებსაც შეფუთვა ხსნის, და ორი, რომელსაც არ ხსნის

როუტერი, რომელიც კონტროლის გაცვლას უშვებს და შეფუთულ მონაცემებს ბლოკავს ქმნის მოხსენებას „გვირაბი აწეულია, მაგრამ არაფერი გადის“. რუკების ცხრილები ვადას გასდის, ამიტომ უმოქმედო სესიას სჭირდება ცოცხლად შენახვის ტრაფიკი, რომელსაც მხარეები განზრახ აგზავნიან, და ეს პაკეტები ჯანმრთელობის შემოწმება არ არის. როცა ერთი კარიბჭის უკან რამდენიმე კლიენტი ერთდროულად ვარდება, შეისწავლეთ იმ კარიბჭის თარგმანი და ნებისმიერი ძველი გატარების ფუნქცია. შეფუთვა არ ხსნის აპლიკაციას, რომელიც ყველა კლიენტზე ვარდება გვირაბის აწევის შემდეგ, და არც ბლოკირების გვერდზე სერთიფიკატის გაფრთხილებას; ორივე ამ ფენის ზემოთაა.

წაიკითხეთ რუკების ცხრილი ერთდროულად ორი კლიენტისთვის: თუ ორივე ერთსა და იმავე თარგმნილ პორტს აჩვენებს, მოწყობილობა მათ არ აცალკევებს ისე, როგორც კარიბჭე მოითხოვს. გატარების რეჟიმი, რომელიც მშობლიურ ESP-ს მხოლოდ ერთ ჰოსტს აძლევს, არ უდრის რამდენიმე თარგმნილი კლიენტის მომსახურებას, თუმცა გამყიდველები ორივეს IPsec-ისადმი მეგობრულად აღწერენ. ორმაგი NAT ამატებს რუკების ფენას და კიდევ ერთ ვადის გასვლის წერტილს, მაგრამ გამავალ კავშირებს ავტომატურად არ წყვეტს.

ცოცხლად შენახვის ტრაფიკი იმსახურებს საკუთარ ხაზს საოპერაციო სახელმძღვანელოში, რადგან სწორედ ის ინახავს პასუხის გზას ღიად უმოქმედობის პერიოდებში. ჩართეთ ის იქ, სადაც გამყიდველი ადოკუმენტირებს, და შეამოწმეთ ის პირველად, როცა სესია რამდენიმე წუთიანი სიჩუმის შემდეგ კვდება და არა პირველ გამოყენებაზე.

შეცვალეთ რუკის მფლობელი, შემდეგ ხელახლა გამოსცადეთ

მიჰყევით მხარდაჭერილ NAT-ის გავლის პარამეტრებს ორივე მხარეზე, ნაცვლად იმისა, რომ პორტი გამოიცნოთ. ერთ კლიენტზე ლოკალური წყაროს პორტის რედაქტირება ვერ შეცვლის სერვისს, რომელიც შორეულ ბოლოში ისმენს, და ჩვეულებრივ არღვევს უკვე აშენებულ რუკას. თუ კლიენტი იმ მოწყობილობის უკანაა, რომელსაც თქვენ არ აკონტროლებთ, ცვლილება მის მფლობელს ეკუთვნის.

ნებისმიერი ცვლილების შემდეგ გაიმეორეთ ორივე ეტაპის შემოწმება და დაადასტურეთ, რომ მონაცემთა პაკეტი გადის, და არა მხოლოდ ის, რომ სტატუსის ეკრანი მწვანე გახდა. შეინახეთ ტიპლები, რუკების ცხრილის გამომავალი და წესის ცვლილება ერთ ჩანაწერში, რათა შემდეგმა ადამიანმა კონტროლის გაცვლიდან თავიდან არ დაიწყოს. strongSwan-ის შენიშვნები NAT-ის გავლის შესახებ მოიცავს შეფუთვის და ცოცხლად შენახვის პარამეტრებს ორივე ეტაპის მიღმა.