IPsec NAT-дан өтүү ESPни UDP ичине кантип ороп салат

Бир маршрутизатордун артындагы эки кардар бир IPsec шлюзу менен сүйлөшөт, жана бири тынымсыз үзүлүп жатканда экинчиси туташ бойдон калат. Баштапкы ESP — порттору жок 50-IP протоколу, ошондуктан бир нече кардар бир даректи бөлүшкөндө котормочунун картага таянар эч нерсеси жок. NAT-дан өтүү ESPни 4500 портунда UDP ичине ороп, ошол кемчиликти жабат, жана ал аталыш кийинки симптомдордун көбүн түшүндүрөт. Ал ошондой эле өзгөртүлүшү керек болгон түзмөктү көрсөтөт.

Дайындар тегиздиги эмне үчүн 4500 портуна өтөт

Орнотуу учурунда IKEv2 ар бир тарап колдонот деп ойлогон даректерди жана портторду өзүнүн NAT аныктоо эскертүүлөрүндө хэштерди алмашуу аркылуу салыштырат. Хэштер дал келбесе, жолдун бир жеринде котормочу отурат, жана эки тарап тең корголгон трафикти UDP каптамасына которушат. Ошондуктан котормочуга туш болгон сессия туш болбогондон башкача көрүнөт.

Ороо — бул конверт, протоколдун өзгөрүшү эмес: ESP өзүнүн аталышын, бүтүндүк текшерүүсүн жана шифрлөөсүн сактайт, ал эми UDP котормочуга керектүү портторду гана берет. 500 порту IKE алмашуусун ташыйт; 4500 аныктоодон кийинки капталган дайындарды, көбүнчө кийинки IKE билдирүүлөрүн да ташыйт. Эки порттун бири да агымды TCP туташуусуна айландырбайт, бул божомол тартуу окугандардын көбүн адаштырат.

Эки баскычты ирети менен текшериңиз

Алгач башкаруу алмашуусун, анан дайындар жолун далилдеңиз, жана экөөнү жазууларыңызда бөлөк кармаңыз. 500дө трафикти көрсөтүп, 4500дө эч качан көрсөтпөгөн тартуу адатта дайындар жолу чыпкаланганын билдирет, ошондуктан оңдоо кардарда эмес, брандмауэр эрежесинде болушу керек.

Эки портту tcpdump -ni any 'udp port 500 or udp port 4500' аркылуу байкаңыз, жана сессия жандуу кезинде маршрутизатордогу котормо таблицасын окуңуз. Ал таблица шлюз чындыгында көрө турган баштапкы портту көрсөтөт, ал эми ноутбуктагы тартуу долбоор боюнча ага каршы келет: ноутбук 500 деп ойлойт, шлюз болсо которулган баштапкы порт менен 4500дү көрөт, жана экөө тең туура. Ошол эле агым, котормого чейин жана кийин:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Ороо түшүндүргөн симптомдор, жана түшүндүрбөгөн экөө

Башкаруу алмашуусуна жол берип, капталган дайындарды тоскон маршрутизатор «түнөл көтөрүлдү, бирок эч нерсе өтпөйт» деген отчётту пайда кылат. Карта таблицаларынын мөөнөтү бүтөт, ошондуктан бош эмес сессияга тараптар атайын жиберген тирүү кармоо трафиги керек, жана бул пакеттер ден соолук текшерүүсү эмес. Бир шлюздун артындагы бир нече кардар бирге ишке ашпаса, ошол шлюздун котормосун жана каалаган эски өткөрүү функциясын изилдеңиз. Ороо түнөл көтөрүлгөндөн кийин ар бир кардарда ишке ашпаган колдонмону да, блоктоо барагындагы сертификат эскертүүсүн да түшүндүрбөйт; экөө тең бул катмардан жогору.

Карта таблицасын бир убакта эки кардар үчүн окуңуз: эгер экөө тең бирдей которулган портту көрсөтсө, түзмөк аларды шлюз талап кылгандай бөлбөйт. Баштапкы ESPни бир гана хостко берген өткөрүү режими бир нече которулган кардарга кызмат көрсөтүүгө барабар эмес, сатуучулар экөөнү тең IPsecке достук деп сүрөттөшсө да. Кош NAT карта катмарын жана дагы бир мөөнөт бүтүү чекитин кошот, бирок чыгуучу туташууларды автоматтык түрдө үзбөйт.

Тирүү кармоо трафиги колдонуу нускамасында өз сапчасына татыктуу, анткени бош мезгилдерде жооп жолун ачык кармаган ошол эле. Аны сатуучу документтештирген жерде күйгүзүңүз, жана сессия биринчи колдонууда эмес, бир нече мүнөттүк тынчтыктан кийин өлсө, эң алды менен ошону текшериңиз.

Картанын ээсин өзгөртүңүз, анан кайра сынаңыз

Портту болжолдоонун ордуна эки тарапта колдоого алынган NAT-дан өтүү жөндөөлөрүн аткарыңыз. Бир кардардагы жергиликтүү баштапкы портту оңдоо каршы тарапта угуп турган кызматты өзгөртө албайт, жана адатта мурун курулган картаны бузат. Эгер кардар сиз көзөмөлдөбөгөн түзмөктүн артында болсо, өзгөртүү анын ээсине таандык.

Ар кандай өзгөртүүдөн кийин эки баскычтык текшерүүнү кайталаңыз жана дайындар пакетинин өтүп жатканын ырастаңыз, статус экраны жашыл болгонун эле эмес. Тизмелерди, карта таблицасынын чыгышын жана эреже өзгөртүүсүн бир жазууда кармаңыз, кийинки адам башкаруу алмашуусунан кайра баштабаш үчүн. strongSwanдын NAT-дан өтүү тууралуу жазуулары эки баскычтын артындагы каптоо жана тирүү кармоо жөндөөлөрүн камтыйт.