Wéi NAT-Traversal den ESP an UDP verpackt

Zwee Cliente hannert demselwe Router schwätzen mat engem IPsec-Gateway, an dee een fält ëmmer erëm aus, während deen anere verbonne bleift. Native ESP ass IP-Protokoll 50 ouni Porten, dofir huet en Iwwersetzer näischt, wou en eng Kartéierung drun hänke kann, wann méi Cliente sech eng Adresse deelen. NAT-Traversal schléisst dës Lück, andeems ESP op 4500 an UDP verpackt gëtt, an deen Header erkläert déi meescht vun de Symptomer, déi duerno kommen. Et weist och op d'Appareil hin, déi geännert muss ginn.

Firwat d'Dateplang op Port 4500 wiesselt

Beim Opbau vergläicht IKEv2 d'Adressen an d'Porten, déi all Säit ze benotze mengt, andeems en Hashes an sengen NAT-Erkennungsnotifikatioune austauscht. Wann d'Hashes net iwwerenee stëmmen, sëtzt irgendwou um Wee en Iwwersetzer, an déi zwou Säiten huelen de geschützten Trafic op UDP-Encapsulation. Dofir gesäit eng Sessioun, déi op en Iwwersetzer gestouss ass, anescht aus wéi eng, déi et net ass.

D'Verpackung ass en Enveloppe, keng Protokollännerung: ESP behält säin Header, seng Integritéitsprüfung a seng Verschlësselung, an UDP liwwert just d'Porten, déi den Iwwersetzer brauch. Port 500 dréit den IKE-Austausch; 4500 dréit déi encapsuléiert Daten no der Erkennung, an dacks och déi méi spéit IKE-Noriichten. Kee vun de Porten mécht de Flux zu enger TCP-Verbindung, eng Annahm, déi déi meescht Leit, déi eng Opnam liesen, an d'Ier féiert.

Iwwerpréift déi zwou Etappen an der Rei

Beweist d'éischt den Kontrollaustausch, dann den Datenwee, a haalt déi zwee getrennt an Ären Notizen. Eng Opnam, déi Trafic op 500 weist an ni op 4500, heescht normalerweis, datt den Datenwee gefiltert gëtt, dofir gehéiert d'Korrektur an d'Firewall-Reeg an net an de Client.

Iwwerwaacht béid Porte mat tcpdump -ni any 'udp port 500 or udp port 4500', a liest d'Iwwersetzungstabell um Router, während eng Sessioun lieft. Déi Tabell weist de Quellport, deen de Gateway tatsächlech gesäit, an eng Opnam um Laptop ass aus Design net d'accord: de Laptop mengt 500, während de Gateway 4500 mat engem iwwersate Quellport gesäit, a béid hu Recht. Deen eenzege Flux, virun an no der Iwwersetzung:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Symptomer, déi d'Verpackung erkläert, an zwee, déi se net erkläert

E Router, deen den Kontrollaustausch erlaabt an déi encapsuléiert Date blockéiert produzéiert de Rapport, datt den Tunnel steet, awer näischt duerchgeet. Kartéierungstabellen oflafen, dofir brauch eng inaktiv Sessioun Keepalive-Trafic, deen d'Säiten absichtlech schécken, an déi Pakete si keng Gesondheetsprüfungen. Wann méi Cliente hannert engem Gateway zesummen ausfalen, ënnersicht d'Iwwersetzung vun deem Gateway an all al Passthrough-Funktioun. D'Verpackung erkläert weder eng Applikatioun, déi bei all Client no dem Opbau vum Tunnel ausfält, nach eng Zertifikatswarnung op enger Blocksäit; béid leien iwwer dëser Schicht.

Liest d'Kartéierungstabell fir zwee Cliente gläichzäiteg: wann béid dee selwechten iwwersate Port weisen, trennt d'Appareil se net sou, wéi de Gateway et verlaangt. En Passthrough-Modus, deen den native ESP just engem Host gëtt, ass net gläichwäerteg mat der Bedéngung vu méi iwwersate Cliente, och wann d'Hiersteller béid als IPsec-frëndlech beschreiwen. Duebel NAT setzt eng Kartéierungsschicht an nach en Oflafpunkt derbäi, awer et brécht ausgängeg Verbindungen net automatesch of.

Keepalive-Trafic verdéngt seng eegen Zeil am Betribshandbuch, well en den Äntwertwee duerch roueg Perioden oppen hält. Aktivéiert en do, wou den Hiersteller et dokumentéiert, a préift en als éischt, wann eng Sessioun no Minutte Stëllt stierft an net beim éischte Gebrauch.

Ännert den Eegentemer vun der Kartéierung, a test dann nach eng Kéier

Follegt den ënnerstëtzten NAT-Traversal-Astellungen op béide Säiten, amplaz e Port ze roden. De lokale Quellport op engem Client z'änneren kann den Service um aneren Enn net änneren, an et zerbricht normalerweis d'Kartéierung, déi schonn opgebaut ass. Wann de Client hannert enger Appareil sëtzt, déi Dir net kontrolléiert, gehéiert d'Ännerung hirem Eegentemer.

No all Ännerung widderhuelt béid Etappeprüfungen a bestätegt, datt en Datenpak duerchgeet, net just datt den Statusbildschierm gréng ginn ass. Haalt d'Tuplen, d'Ausgab vun der Kartéierungstabell an d'Reegelännerung an enger Notiz, sou datt déi nächst Persoun net erëm beim Kontrollaustausch ufänkt. D'strongSwan-Notizen zum NAT-Traversal decken d'Encapsulation- an d'Keepalive-Astellungen hannert béide Etappen.