NAT ಟ್ರಾವರ್ಸಲ್ ESP ಅನ್ನು UDP ಒಳಗೆ ಹೇಗೆ ಸುತ್ತುತ್ತದೆ

ಒಂದೇ ರೌಟರ್ ಹಿಂದಿನ ಇಬ್ಬರು ಕ್ಲೈಂಟ್ಗಳು ಒಂದೇ IPsec ಗೇಟ್ವೇ ಜೊತೆ ಮಾತನಾಡುತ್ತಾರೆ, ಮತ್ತು ಒಂದು ಪದೇ ಪದೇ ಕಡಿತಗೊಳ್ಳುತ್ತದೆ ಆದರೆ ಇನ್ನೊಂದು ಸಂಪರ್ಕದಲ್ಲಿರುತ್ತದೆ. ಮೂಲ ESP 50 ನೇ IP ಪ್ರೋಟೋಕಾಲ್ ಆಗಿದ್ದು ಪೋರ್ಟ್ಗಳಿಲ್ಲ, ಆದ್ದರಿಂದ ಹಲವು ಕ್ಲೈಂಟ್ಗಳು ಒಂದೇ ವಿಳಾಸವನ್ನು ಹಂಚಿಕೊಂಡಾಗ ಅನುವಾದಕನಿಗೆ ಮ್ಯಾಪಿಂಗ್ ಆಧರಿಸಲು ಏನೂ ಇರುವುದಿಲ್ಲ. NAT ಟ್ರಾವರ್ಸಲ್ 4500 ನಲ್ಲಿ ESP ಅನ್ನು UDP ಒಳಗೆ ಸುತ್ತಿ ಆ ಕೊರತೆಯನ್ನು ತುಂಬುತ್ತದೆ, ಮತ್ತು ಆ ಶೀರ್ಷಿಕೆ ಮುಂದಿನ ಹೆಚ್ಚಿನ ಲಕ್ಷಣಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ. ಬದಲಾಯಿಸಬೇಕಾದ ಸಾಧನವನ್ನೂ ಅದು ತೋರಿಸುತ್ತದೆ.

ಡೇಟಾ ಪ್ಲೇನ್ 4500 ಪೋರ್ಟ್ಗೆ ಏಕೆ ಹೋಗುತ್ತದೆ

ಸೆಟಪ್ ಸಮಯದಲ್ಲಿ IKEv2 ಪ್ರತಿ ಬದಿಯು ಬಳಸುತ್ತಿದೆ ಎಂದು ಭಾವಿಸುವ ವಿಳಾಸಗಳು ಮತ್ತು ಪೋರ್ಟ್ಗಳನ್ನು ತನ್ನ NAT ಪತ್ತೆ ಅಧಿಸೂಚನೆಗಳಲ್ಲಿ ಹ್ಯಾಶ್ಗಳನ್ನು ವಿನಿಮಯಿಸಿ ಹೋಲಿಸುತ್ತದೆ. ಹ್ಯಾಶ್ಗಳು ಹೊಂದಿಕೆಯಾಗದಿದ್ದರೆ ಮಾರ್ಗದ ಎಲ್ಲೋ ಒಬ್ಬ ಅನುವಾದಕ ಕುಳಿತಿರುತ್ತಾನೆ, ಮತ್ತು ಎರಡೂ ಪಕ್ಷಗಳು ಸಂರಕ್ಷಿತ ಸಂಚಾರವನ್ನು UDP ಎನ್ಕ್ಯಾಪ್ಸುಲೇಷನ್ಗೆ ಬದಲಾಯಿಸುತ್ತವೆ. ಆದ್ದರಿಂದ ಅನುವಾದಕ ಎದುರಿಸಿದ ಅಧಿವೇಶನ ಎದುರಿಸದ ಅಧಿವೇಶನಕ್ಕಿಂತ ಭಿನ್ನವಾಗಿ ಕಾಣುತ್ತದೆ.

ಸುತ್ತುವಿಕೆ ಒಂದು ಹೊದಿಕೆ, ಪ್ರೋಟೋಕಾಲ್ ಬದಲಾವಣೆ ಅಲ್ಲ: ESP ತನ್ನ ಶೀರ್ಷಿಕೆ, ಸಮಗ್ರತೆ ಪರಿಶೀಲನೆ ಮತ್ತು ಗೂಢಲಿಪೀಕರಣವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು UDP ಅನುವಾದಕನಿಗೆ ಬೇಕಾದ ಪೋರ್ಟ್ಗಳನ್ನು ಮಾತ್ರ ಒದಗಿಸುತ್ತದೆ. ಪೋರ್ಟ್ 500 IKE ವಿನಿಮಯವನ್ನು ಸಾಗಿಸುತ್ತದೆ; 4500 ಪತ್ತೆಯ ನಂತರದ ಸುತ್ತಿದ ಡೇಟಾವನ್ನು, ಮತ್ತು ಹೆಚ್ಚಾಗಿ ನಂತರದ IKE ಸಂದೇಶಗಳನ್ನೂ ಸಾಗಿಸುತ್ತದೆ. ಯಾವ ಪೋರ್ಟೂ ಹರಿವನ್ನು TCP ಸಂಪರ್ಕವಾಗಿಸುವುದಿಲ್ಲ, ಕ್ಯಾಪ್ಚರ್ ಓದುವ ಹೆಚ್ಚಿನ ಜನರನ್ನು ದಾರಿತಪ್ಪಿಸುವ ಊಹೆ ಅದು.

ಎರಡು ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ಪರಿಶೀಲಿಸಿ

ಮೊದಲು ನಿಯಂತ್ರಣ ವಿನಿಮಯವನ್ನು ಸಾಬೀತು ಮಾಡಿ, ನಂತರ ಡೇಟಾ ಮಾರ್ಗವನ್ನು, ಮತ್ತು ಎರಡನ್ನೂ ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ. 500 ನಲ್ಲಿ ಸಂಚಾರ ತೋರಿಸಿ 4500 ನಲ್ಲಿ ಎಂದೂ ತೋರಿಸದ ಕ್ಯಾಪ್ಚರ್ ಸಾಮಾನ್ಯವಾಗಿ ಡೇಟಾ ಮಾರ್ಗ ಫಿಲ್ಟರ್ ಆಗಿದೆ ಎಂದರ್ಥ, ಆದ್ದರಿಂದ ಸರಿಪಡಿಸುವಿಕೆ ಕ್ಲೈಂಟ್ನಲ್ಲಲ್ಲ, ಫೈರ್ವಾಲ್ ನಿಯಮದಲ್ಲಿದೆ.

tcpdump -ni any 'udp port 500 or udp port 4500' ಬಳಸಿ ಎರಡೂ ಪೋರ್ಟ್ಗಳನ್ನು ಗಮನಿಸಿ, ಮತ್ತು ಅಧಿವೇಶನ ಸಕ್ರಿಯವಾಗಿರುವಾಗ ರೌಟರ್ನಲ್ಲಿನ ಅನುವಾದ ಕೋಷ್ಟಕವನ್ನು ಓದಿ. ಆ ಕೋಷ್ಟಕ ಗೇಟ್ವೇ ನಿಜವಾಗಿ ನೋಡುವ ಮೂಲ ಪೋರ್ಟ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಲ್ಯಾಪ್ಟಾಪ್ನಲ್ಲಿನ ಕ್ಯಾಪ್ಚರ್ ವಿನ್ಯಾಸದಿಂದಲೇ ಭಿನ್ನವಾಗಿದೆ: ಲ್ಯಾಪ್ಟಾಪ್ 500 ಎಂದು ನಂಬುತ್ತದೆ ಆದರೆ ಗೇಟ್ವೇ ಅನುವಾದಿತ ಮೂಲ ಪೋರ್ಟ್ನೊಂದಿಗೆ 4500 ನೋಡುತ್ತದೆ, ಮತ್ತು ಎರಡೂ ಸರಿ. ಅದೇ ಹರಿವು, ಅನುವಾದಕ್ಕೆ ಮೊದಲು ಮತ್ತು ನಂತರ:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

ಸುತ್ತುವಿಕೆ ವಿವರಿಸುವ ಲಕ್ಷಣಗಳು, ಮತ್ತು ವಿವರಿಸದ ಎರಡು

ನಿಯಂತ್ರಣ ವಿನಿಮಯವನ್ನು ಅನುಮತಿಸಿ ಸುತ್ತಿದ ಡೇಟಾವನ್ನು ತಡೆಯುವ ರೌಟರ್ 'ಸುರಂಗ ಮೇಲಿದೆ ಆದರೆ ಏನೂ ಹಾದುಹೋಗುತ್ತಿಲ್ಲ' ಎಂಬ ವರದಿಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಮ್ಯಾಪಿಂಗ್ ಕೋಷ್ಟಕಗಳು ಅವಧಿ ಮುಗಿಯುತ್ತವೆ, ಆದ್ದರಿಂದ ನಿಷ್ಕ್ರಿಯ ಅಧಿವೇಶನಕ್ಕೆ ಎರಡೂ ಪಕ್ಷಗಳು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಕಳುಹಿಸುವ ಜೀವಂತಿಕೆ ಸಂಚಾರ ಬೇಕು, ಮತ್ತು ಆ ಪ್ಯಾಕೆಟ್ಗಳು ಆರೋಗ್ಯ ಪರಿಶೀಲನೆಗಳಲ್ಲ. ಒಂದು ಗೇಟ್ವೇ ಹಿಂದಿನ ಹಲವು ಕ್ಲೈಂಟ್ಗಳು ಒಟ್ಟಿಗೆ ವಿಫಲವಾದರೆ, ಆ ಗೇಟ್ವೇಯ ಅನುವಾದ ಮತ್ತು ಯಾವುದೇ ಹಳೆಯ ಪಾಸ್ಥ್ರೂ ಸೌಲಭ್ಯವನ್ನು ಪರಿಶೀಲಿಸಿ. ಸುರಂಗ ಏರಿದ ನಂತರ ಪ್ರತಿ ಕ್ಲೈಂಟ್ನಲ್ಲೂ ವಿಫಲವಾಗುವ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಸುತ್ತುವಿಕೆ ವಿವರಿಸುವುದಿಲ್ಲ, ಬ್ಲಾಕ್ ಪುಟದ ಪ್ರಮಾಣಪತ್ರ ಎಚ್ಚರಿಕೆಯನ್ನೂ ಅಲ್ಲ; ಎರಡೂ ಈ ಪದರದ ಮೇಲಿವೆ.

ಒಮ್ಮೆಗೇ ಇಬ್ಬರು ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಮ್ಯಾಪಿಂಗ್ ಕೋಷ್ಟಕವನ್ನು ಓದಿ: ಇಬ್ಬರೂ ಒಂದೇ ಅನುವಾದಿತ ಪೋರ್ಟ್ ತೋರಿಸಿದರೆ, ಸಾಧನವು ಗೇಟ್ವೇ ಬಯಸುವ ರೀತಿಯಲ್ಲಿ ಅವರನ್ನು ಬೇರ್ಪಡಿಸುತ್ತಿಲ್ಲ. ಕೇವಲ ಒಂದು ಹೋಸ್ಟ್ಗೆ ಮೂಲ ESP ನೀಡುವ ಪಾಸ್ಥ್ರೂ ಮೋಡ್ ಹಲವು ಅನುವಾದಿತ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಸೇವೆ ಸಲ್ಲಿಸುವುದಕ್ಕೆ ಸಮಾನವಲ್ಲ, ಆದರೂ ಮಾರಾಟಗಾರರು ಎರಡನ್ನೂ IPsec ಸ್ನೇಹಿ ಎಂದು ವಿವರಿಸುತ್ತಾರೆ. ಎರಡುಪಟ್ಟು NAT ಮ್ಯಾಪಿಂಗ್ ಪದರ ಮತ್ತು ಇನ್ನೊಂದು ಅವಧಿ ಮುಗಿಯುವ ಬಿಂದುವನ್ನು ಸೇರಿಸುತ್ತದೆ, ಆದರೆ ಹೊರಹೋಗುವ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಮುರಿಯುವುದಿಲ್ಲ.

ಜೀವಂತಿಕೆ ಸಂಚಾರ ನಿರ್ವಹಣಾ ಕೈಪಿಡಿಯಲ್ಲಿ ತನ್ನದೇ ಸಾಲಿಗೆ ಅರ್ಹವಾಗಿದೆ, ಏಕೆಂದರೆ ನಿಷ್ಕ್ರಿಯ ಅವಧಿಗಳಲ್ಲಿ ಉತ್ತರದ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡುವುದು ಅದೇ. ಮಾರಾಟಗಾರರು ದಾಖಲಿಸಿರುವ ಸ್ಥಳದಲ್ಲಿ ಅದನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿ, ಮತ್ತು ಅಧಿವೇಶನವು ಮೊದಲ ಬಳಕೆಯಲ್ಲಿ ಅಲ್ಲ, ಕೆಲವು ನಿಮಿಷಗಳ ಮೌನದ ನಂತರ ಸಾಯುವಾಗ ಮೊದಲು ಅದನ್ನೇ ಪರಿಶೀಲಿಸಿ.

ಮ್ಯಾಪಿಂಗ್ನ ಮಾಲೀಕರನ್ನು ಬದಲಿಸಿ, ನಂತರ ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ

ಪೋರ್ಟ್ ಅನ್ನು ಊಹಿಸುವ ಬದಲು ಎರಡೂ ಪಕ್ಷಗಳಲ್ಲಿ ಬೆಂಬಲಿತ NAT ಟ್ರಾವರ್ಸಲ್ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಅನುಸರಿಸಿ. ಒಂದು ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಸ್ಥಳೀಯ ಮೂಲ ಪೋರ್ಟ್ ಸಂಪಾದಿಸುವುದರಿಂದ ದೂರದ ತುದಿಯಲ್ಲಿ ಕೇಳುತ್ತಿರುವ ಸೇವೆ ಬದಲಾಗಲಾರದು, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಈಗಾಗಲೇ ನಿರ್ಮಿಸಿದ ಮ್ಯಾಪಿಂಗ್ ಮುರಿಯುತ್ತದೆ. ಕ್ಲೈಂಟ್ ನೀವು ನಿಯಂತ್ರಿಸದ ಸಾಧನದ ಹಿಂದೆ ಇದ್ದರೆ, ಬದಲಾವಣೆ ಅದರ ಮಾಲೀಕರದ್ದು.

ಯಾವುದೇ ಬದಲಾವಣೆಯ ನಂತರ ಎರಡೂ ಹಂತದ ಪರಿಶೀಲನೆಗಳನ್ನು ಪುನರಾವರ್ತಿಸಿ ಮತ್ತು ಡೇಟಾ ಪ್ಯಾಕೆಟ್ ಹಾದುಹೋಗುತ್ತಿದೆ ಎಂದು ದೃಢೀಕರಿಸಿ, ಸ್ಥಿತಿ ಪರದೆ ಹಸಿರಾಗಿದೆ ಎಷ್ಟೇ ಅಲ್ಲ. ಟ್ಯೂಪಲ್ಗಳು, ಮ್ಯಾಪಿಂಗ್ ಕೋಷ್ಟಕದ ಔಟ್ಪುಟ್ ಮತ್ತು ನಿಯಮದ ಬದಲಾವಣೆಯನ್ನು ಒಂದೇ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಇರಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ನಿಯಂತ್ರಣ ವಿನಿಮಯದಿಂದ ಮತ್ತೆ ಪ್ರಾರಂಭಿಸದಂತೆ. NAT ಟ್ರಾವರ್ಸಲ್ ಕುರಿತು strongSwan ಟಿಪ್ಪಣಿಗಳು ಎರಡೂ ಹಂತಗಳ ಹಿಂದಿನ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಷನ್ ಮತ್ತು ಜೀವಂತಿಕೆ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಒಳಗೊಳ್ಳುತ್ತವೆ.