strongSwan ESP-in-UDP: wann et kee NAT ze entdecken gëtt

NAT-Entdeckung fënnt Adressëbersetzung, net Firewall-Politik. Eng Site-Verbindung ouni NAT kann awer eng explizit ESP-in-UDP-Wiel brauchen.

D'NAT-Entdeckung äntwert op eng Fro: hunn sech d'Adressen oder d'Porten ënnerwee geännert? Si äntwert net, ob eng Firewall d'IP-Protokoll 50 erlaabt. Site-Gateways ganz ouni Iwwersetzung kënnen nach ëmmer hannert enger Politik stoen, déi native ESP verwërft, an déi Ufuerderung muss konfiguréiert ginn anstatt entdeckt ze ginn. De Mechanismus ass ESP-in-UDP, an dat ass eng Entscheidung, keen Ersatz dee sech vun selbst ergëtt.

Entdeckung ass Arithmetik op Adressen, keng Firewall-Sond

IKEv2 dréit NAT-Entdeckungsnoutlaaschten mat Hashes vun den Adressen a Porte vum Urspronk an der Destinatioun. All Säit vergläicht dat Empfaangene mat deem, wat se lokal gesäit, an eng Onstëmmegkeet seet hir, datt eppes de Paket iwwersat huet. Näischt an deem Austausch testt, ob en Router an der Mëtt d'Protokoll 50 weiderschéckt.

D'praktesch Konsequenz ass et wäert, se kloer ze soen. En Tunnel, dee mat native ESP funktionéiert huet, entdeckt net vun selbst eng nei restriktiv Firewall, an säin nächsten Versuch feelt an der Datestuf, während IKE weider geléngt. Dir gesitt etabléiert IKE-Sécherheetsassociatiounen an kee geschützten Trafik, wat wéi e Routingfehler ausgesäit, bis Dir um Drot ophëlt.

D'Kapselung ass dofir eng Eegenschaft vun der Verbindung, déi Dir konfiguréiert, keen Resultat, deen d'Peers aus dem Netzwierkverhalen ausverhandelen.

Wéi encap den Austausch ännert

An enger moderner strongSwan-Installatioun, déi iwwer swanctl.conf geréiert gëtt, beaflosst d'Astellong encap = yes op der Verbindung den NAT-Entdeckungsaustausch, sou datt béid Peers UDP-Kapselung fir ESP benotzen. Déi geschützt Pakete reesen duerno bannent UDP, gewéinlech op Port 4500, an béid Endpunkte mussen sech op déi Arrangement eeneg sinn.

connections {
    site {
        encap = yes
        # existing approved peer, authentication and child settings
    }
}

Dat Fragment gehéiert an eng richteg Verbindungsdefinitioun an ass kee komplette Site-Profil. Behale d'Peer-Adressen, d'Authentifizéierung an d'Child-Trafikselektoren, déi Dir scho bedreift; deen eenzegen dobäigesaten Schlëssel ännert, wéi déi geschützt Donnéeë verpackt ginn, net wat se schützen.

Den strongSwan-Leitfued zu NAT-traversal beschreift dëst Verhalen, inklusiv der Interaktioun mam Port Floating, wa MOBIKE benotzt gëtt.

Benotz d'Astellong, déi zu Ärem Backend gehéiert

strongSwan huet zwee Konfiguratiouns-Backends, an de Schlëssel ass ënnerschiddlech tëschent hinnen. Eng swanctl.conf-Verbindung hëlt encap, während eng méi al ipsec.conf-Verbindung forceencaps hëlt. E Schlësselwuert vun engem Backend an deen aneren ze setzen, produzéiert eng Konfiguratioun, déi ouni Beschwéierde luedt an näischt ännert, wat schlëmmer ass wéi e Fehler.

Kontrolléiert, wéi en Daemon tatsächlech leeft, ier Dir eppes ännert. Op ville Distributiounen existéieren déi zwou Dateien, well eng en Iwwerrescht vun enger fréierer Migratioun ass, an déi aktiv ass déi, déi d'Servicer Eenheet start. Liest déi Eenheet, anstatt aus den Zäitstempelen vun den Dateien ze roden. Eng Kontroll vu fënnef Sekonnen hei verhënnert Stonnen Teste vun enger Astellung, déi näischt gelueden huet.

Wend d'Ännerung iwwer den Eegentümer vun der Verbindung un a stell d'Associatioun an engem kontrolléierte Fënster erëm hier. En installéierte Child behält seng aktuell Kapselung, bis en ersat gëtt, also beweist eng Dateiännerung eleng net, datt dat neit Arrangement benotzt gëtt.

Verifizéier déi verpackt Donnéeën, net just de Port

Hëlleft um Gateway of, während geschützten Trafik fléisst, a vergläicht dat duerno mat strongSwan senger eege Siicht:

$ sudo tcpdump -ni eth0 'udp port 4500' -c 20
$ sudo swanctl --list-sas --ike site
$ sudo ip xfrm state list

Native ESP erschéngt als IP-Protokoll 50 an ähnelt guer net UDP. Verpackt ESP erschéngt als UDP-Datagramme op 4500, deenen hir Noutlaascht net IKE ass. IKE-Trafik op deem selwechte Port ass kee Beweis fir Kapselung, well MOBIKE IKE dohinner bewege kann, während de Datenwee native bleift, also liest d'Noutlaascht, net d'Portnummer.

Denkt och un d'MTU vum Wee. D'Verpackung setzt Overhead derbäi, an e Wee, deen native ESP gedroen huet, kann Upassunge brauchen, wa Pakete wuessen. Déi néideg ICMP-Behandlung sollt schonn Deel vum Design sinn; Kapselung hëlt déi Ofhängegkeet net ewech.

Akzeptéier d'Ännerung, wann frëschen Applikatiounstrafik bannent dem Tunnel an der Opnam op béide Enner als verpackt ESP sichtbar ass, a wann den innere Service an säi Retourwee nach funktionéieren. Alles manner ass eng Konfiguratioun, déi an enger Datei richteg ausgesäit.

Ähnlech Artikelen