L2TP/IPsec duerch NAT: wat wierklech briecht a firwat

D’Behaaptung, datt NAT L2TP/IPsec brécht, ass hallef wouer a dofir nëtzlos. Adressübersetzung ass normal, NAT-Traversal existéiert genee dofir, et z’iwwerliewen, a Millioune Clienten verbannen sech all Dag hannert engem Router. Wat brécht, ass eng bestëmmt Phase vun engem bestëmmten Austausch: IKE kritt ni eng Äntwert, den encapiselte Tunnel gëtt duerch eng Richtlinn verworfen, déi just ee Protokoll erlaabt, oder d’Iwwersetzungsmapping leeft of, während den Tunnel inaktiv ass. Wann Dir wësst, an wéi enger Phase Dir sidd, ass d’Reparatur meeschtens eng eenzeg Regel oder e Keepalive an net en neien VPN-Design.

De Mythos ass déi falsch Fro

Déi nëtzlech Fro ass net „brécht NAT dat“, mä „wéi en Deel vum Austausch gëtt iwwersat, a wat mécht den Apparat, deen iwwersetzt, domat“. L2TP/IPsec ass e geschichtete Protokoll: IKE verhandelt, ESP schützt, an L2TP dréit PPP bannent dësem Schutz. Adressübersetzung wiirkt op all Schicht anescht, an d’Fehlersignaturen ënnerscheede sech, wann Dir d’Verhandlungsphase kuckt an net den Fehlerdialog.

E Router, deen erfollegräich am Web surft, beweist just, datt TCP mat Quellport-Übersetzung funktionnéiert. Hie seet näischt iwwer UDP 500, UDP 4500 oder Protokoll 50, an dat sinn genau déi dräi Saachen, op deenen dës Deployement hänkt.

Phase 1: IKE muss iwwerhaapt eng Äntwert kréien

Den éischten Austausch geet op UDP 500 un déi äntwerend Säit. Kommt keng Äntwert zeréck, spillt alles anescht keng Roll: dee viru gedeelte Schlëssel, de Virschlag an d’Umeldungsdaten bleiwen ongelies. Kuckt op d’Ufuerderung an d’Äntwert, amplaz vum Timeout vum Client ze schléissen:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Eng Ufuerderung ouni Äntwert bedeit meeschtens, datt eng Firewall oder den Upstream-Undernhueler de Paket verwërft, an net datt de Server en ofgeleent huet. Eng Äntwert mat enger Notify-Load, déi e Virschlag oder e Zertifikatsproblem nennt, bedeit, datt d’Paketen ukomm sinn an d’Verhandlung um Inhalt gescheitert ass, wat eng ganz aner Reparatur ass.

Wann béid Parteien hannert enger Iwwersetzung sëtzen, muss den Initiator just déi äntwerend Säit erreechen, dofir funktionnéiere meeschtens d’Client-Säit-Deployementer vun der Phase 1 un. Server-Säit-Hosting ass de Punkt, wou de Problem mat agehende Verkéier ufänkt, an dofir sollten déi zwou Situatiounen ni als eng diskutéiert ginn.

Phase 2: Encapsulation ännert, wat d’Firewall gesäit

ESP ass en IP-Protokoll, keen TCP- oder UDP-Port, an déi gewéinlech Port-Adressübersetzung huet kee Portfeld, fir et ëmzeschreiwen. Dofir verlagert NAT-Traversal déi geschützt Laascht an UDP 4500: d’Encapsulation gëtt dem iwwersetzenden Apparat eppes, wat e weess wéi een et iwwersetzt. Soubal dat geschitt, wäert eng Firewallregel, déi just fir UDP 500 geschriwwe gouf, d’Verhandlung erlaben an den Tunnel verwerfen, wat dat verwierendt Resultat gëtt, wou de Log eng erfollegräich Phase 1 an keen Trafic weist.

Den IKE-Austausch selwer kann och op UDP 4500 wiesselen, nodeems en NAT detektéiert gouf, wat d’Leit iwwerrascht, déi 500 an soss näischt erlaabt hunn. Erlaabt béid Porten a béid Richtungen um Wee, a vergiesst net, datt eng stateful Firewall de Flux just soulaang hält, wéi se Trafic gesäit.

Protokoll 50 ass nach ëmmer wichteg op Weeër ouni Iwwersetzung, an op Weeër, wou eng Mëttelbox dofir konfiguréiert ass, et z’erlaben. Wann Dir duerch Ausschléiss diagnostizéiert, schalt d’Hypothese aus, amplaz Regelen a Koup derbäizemaachen: erlaabt 500, 4500 an ESP, bestätegt, datt den Tunnel eropkënnt, a läscht dann, wat sech als onnéideg erwisen huet. Eng Regel, déi kee erkläre kann, ass eng Regel, déi kee läscht, wann se d’Ursaach vum nächsten Ausfall gëtt. Schreift d’Verkleenerung an de Changementsprotokoll zesumme mat der Phase, déi se reparéiert huet, sou datt den nächsten Ingenieur vun Ären Beweiser ufänkt an net vun der selwechter Daumeregel.

Phase 3: D’Mapping leeft of an den Tunnel stierft

En iwwersetzenden Apparat hält den Zoustand fir d’Flëss, déi en weiderleet, an dee Zoustand huet eng Liewensdauer. En L2TP/IPsec-Tunnel dréit wéineg Trafic, wann keen en benotzt, dofir kann en inaktiven Tunnel säin Mapping iwwerliewen a keng Retourverkéier méi kréien. De Client bleift iwwerzeegt, verbonne ze sinn, de Server gesäit näischt, an dat éischt Symptom ass meeschtens en Applikatiouns-Timeout an net e VPN-Fehler.

Dead-Peer-Erkennung an NAT-Keepalives ginn et dofir, a béid Enner mussen averstane sinn, se ze schécken. Wann Äre Server hannert enger Iwwersetzung ass, ass d’Ufuerderung op der Windows-Säit eng dokumentéiert Registrierungsastellung, déi de Server UDP-Encapsulation fir seng eege ausgänglech Paketen unhuele léisst; ouni se schéckt déi äntwerend Säit ESP, wat den iwwersetzenden Apparat net zréck mappe kann. Dat ass eng Serverkonfiguratiounsfro, keng Clientfro.

Eng Ännerung vun der WAN-Adress gëtt datselwecht Resultat aus enger anerer Richtung: d’Mapping gëtt ëm eng nei Adress nei opgebaut, an déi al Sécherheetsassociatioun weist elo op en Tupel, deen et net méi gëtt. D’Verhalen beim Neiverbannen gehéiert zur Client-Implementatioun, an dofir funktionnéiert „nei verbannen nodeems de Router nei gestart huet“ op engem Client an op engem aneren ass en manuelle Schalter néideg.

Hosting hannert Carrier-Grade-NAT ass e anere Problem

Wann Dir en L2TP/IPsec-Server doheem hoste wëllt an en vun dobaussen erreeche wëllt, ass d’Ufuerderung onverlaangt agehend Erreechbarkeet, an dat ass net, wat NAT-Traversal bitt. En Carrier-Grade-NAT virun Ärem Router bedeit, datt et kee Port gëtt, deen Dir weiderleede kënnt an dech erreechbar mécht, well d’ëffentlech Adress gedeelt gëtt an d’Mapping just ausgänglech ass.

Keng IPsec-Pass-Through-Këschtchen ännert dat, a keng Clientkonfiguratioun gläicht et aus. Déi ënnerstëtzt Äntwerten sinn eng Adress, déi tatsächlech erreechbar ass, en gehosteten Endpunkt, oder eng Architektur, wou all Deelhueler eng ausgänglech Verbindung mécht. Déi UDP-Encapsulation-Spezifikatioun léist de Problem vun der Iwwersetzung fir Flëss, déi et gëtt; se schaaft kee agehenden Wee, wou den Undernhueler keen ubitt.

Vergläicht also Netzwierker, amplaz ze roden. Huelt deeselwechten Apparat a Profil an en anert erlaabt Netzwierk a kuckt, wéi eng Phase do versoe geet. Wann et soss néierens funktionnéiert, ass den Ënnerscheed am Wee, an dat verkleenert d’Sich op déi dräi Phase uewendriwwer amplaz op déi ganz Konfiguratioun.