NAT ട്രാവേഴ്സൽ ESP-യെ UDP-യ്ക്കുള്ളിൽ എങ്ങനെ പൊതിയുന്നു

ഒരേ റൗട്ടറിന് പിന്നിലുള്ള രണ്ട് ക്ലയന്റുകൾ ഒരു IPsec ഗേറ്റ്വേയുമായി സംസാരിക്കുന്നു, ഒന്ന് പതിവായി വിച്ഛേദിക്കപ്പെടുമ്പോൾ മറ്റൊന്ന് കണക്ഷനിൽ തുടരുന്നു. അടിസ്ഥാന ESP പോർട്ടുകളില്ലാത്ത 50-ാം IP പ്രോട്ടോക്കോളാണ്, അതിനാൽ പല ക്ലയന്റുകൾ ഒരേ വിലാസം പങ്കിടുമ്പോൾ വിവർത്തകന് മാപ്പിംഗ് ഉറപ്പിക്കാൻ ഒന്നുമില്ല. NAT ട്രാവേഴ്സൽ ESP-യെ 4500-ൽ UDP-യ്ക്കുള്ളിൽ പൊതിഞ്ഞ് ആ വിടവ് നികത്തുന്നു, ആ ഹെഡർ തുടർന്നുള്ള മിക്ക ലക്ഷണങ്ങളും വിശദീകരിക്കുന്നു. മാറ്റേണ്ട ഉപകരണത്തിലേക്കും അത് വിരൽ ചൂണ്ടുന്നു.

ഡാറ്റ പ്ലെയിൻ 4500 പോർട്ടിലേക്ക് നീങ്ങുന്നത് എന്തുകൊണ്ട്

സെറ്റപ്പ് സമയത്ത് IKEv2 ഓരോ വശവും ഉപയോഗിക്കുന്നതായി കരുതുന്ന വിലാസങ്ങളും പോർട്ടുകളും താരതമ്യം ചെയ്യുന്നു, സ്വന്തം NAT കണ്ടെത്തൽ അറിയിപ്പുകളിൽ ഹാഷുകൾ കൈമാറി. ഹാഷുകൾ ഒത്തുപോകാത്തപ്പോൾ പാതയിൽ എവിടെയോ ഒരു വിവർത്തകൻ ഇരിക്കുന്നു, രണ്ട് കക്ഷികളും സംരക്ഷിത ട്രാഫിക്ക് UDP എൻകാപ്സുലേഷനിലേക്ക് മാറ്റുന്നു. അതുകൊണ്ട് വിവർത്തകനെ നേരിട്ട സെഷൻ നേരിടാത്തതിൽ നിന്ന് വ്യത്യസ്തമായി കാണപ്പെടുന്നു.

പൊതിയൽ ഒരു എൻവലപ്പ് ആണ്, പ്രോട്ടോക്കോൾ മാറ്റമല്ല: ESP അതിന്റെ ഹെഡർ, അഖണ്ഡതാ പരിശോധന, എൻക്രിപ്ഷൻ എന്നിവ നിലനിർത്തുന്നു, UDP വിവർത്തകന് ആവശ്യമായ പോർട്ടുകൾ മാത്രം നൽകുന്നു. പോർട്ട് 500 IKE കൈമാറ്റം വഹിക്കുന്നു; 4500 കണ്ടെത്തലിന് ശേഷമുള്ള പൊതിഞ്ഞ ഡാറ്റയും പലപ്പോഴും പിന്നീടുള്ള IKE സന്ദേശങ്ങളും വഹിക്കുന്നു. ഏത് പോർട്ടും ഒഴുക്കിനെ TCP കണക്ഷനാക്കുന്നില്ല, ഒരു ക്യാപ്ചർ വായിക്കുന്ന മിക്ക ആളുകളെയും തെറ്റിദ്ധരിപ്പിക്കുന്ന അനുമാനം അതാണ്.

രണ്ട് ഘട്ടങ്ങളും ക്രമത്തിൽ പരിശോധിക്കുക

ആദ്യം നിയന്ത്രണ കൈമാറ്റം തെളിയിക്കുക, പിന്നെ ഡാറ്റ പാത, രണ്ടും നിങ്ങളുടെ കുറിപ്പുകളിൽ വേറിട്ട് സൂക്ഷിക്കുക. 500-ൽ ട്രാഫിക് കാണിച്ച് 4500-ൽ ഒരിക്കലും കാണിക്കാത്ത ഒരു ക്യാപ്ചർ സാധാരണയായി ഡാറ്റ പാത ഫിൽട്ടർ ചെയ്യപ്പെടുന്നു എന്നാണ് അർത്ഥം, അതിനാൽ പരിഹാരം ക്ലയന്റിലല്ല, ഫയർവാൾ നിയമത്തിലാണ്.

tcpdump -ni any 'udp port 500 or udp port 4500' ഉപയോഗിച്ച് രണ്ട് പോർട്ടുകളും നിരീക്ഷിക്കുക, സെഷൻ സജീവമായിരിക്കുമ്പോൾ റൗട്ടറിലെ വിവർത്തന പട്ടിക വായിക്കുക. ആ പട്ടിക ഗേറ്റ്വേ യഥാർത്ഥത്തിൽ കാണുന്ന ഉറവിട പോർട്ട് കാണിക്കുന്നു, ലാപ്ടോപ്പിലെ ക്യാപ്ചർ രൂപകൽപ്പനയാൽ അതിൽ നിന്ന് വ്യത്യസ്തമാണ്: ലാപ്ടോപ്പ് 500 എന്ന് വിശ്വസിക്കുന്നു, ഗേറ്റ്വേ വിവർത്തനം ചെയ്ത ഉറവിട പോർട്ടോടെ 4500 കാണുന്നു, രണ്ടും ശരിയാണ്. അതേ ഒഴുക്ക്, വിവർത്തനത്തിന് മുമ്പും ശേഷവും:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

പൊതിയൽ വിശദീകരിക്കുന്ന ലക്ഷണങ്ങൾ, വിശദീകരിക്കാത്ത രണ്ട്

നിയന്ത്രണ കൈമാറ്റം അനുവദിച്ച് പൊതിഞ്ഞ ഡാറ്റ തടയുന്ന റൗട്ടർ 'ടണൽ മുകളിലാണ്, പക്ഷേ ഒന്നും കടക്കുന്നില്ല' എന്ന റിപ്പോർട്ട് ഉണ്ടാക്കുന്നു. മാപ്പിംഗ് പട്ടികകൾ കാലഹരണപ്പെടുന്നു, അതിനാൽ നിഷ്ക്രിയ സെഷന് കക്ഷികൾ ബോധപൂർവം അയക്കുന്ന ജീവനിലുള്ള ട്രാഫിക് ആവശ്യമാണ്, ആ പാക്കറ്റുകൾ ആരോഗ്യ പരിശോധനകളല്ല. ഒരു ഗേറ്റ്വേയുടെ പിന്നിലുള്ള പല ക്ലയന്റുകൾ ഒരുമിച്ച് പരാജയപ്പെട്ടാൽ, ആ ഗേറ്റ്വേയുടെ വിവർത്തനവും ഏതെങ്കിലും പഴയ പാസ്ത്രൂ സൗകര്യവും പരിശോധിക്കുക. ടണൽ ഉയർന്നതിന് ശേഷം എല്ലാ ക്ലയന്റുകളിലും പരാജയപ്പെടുന്ന അപ്ലിക്കേഷനെയും ബ്ലോക്ക് പേജിലെ സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പിനെയും പൊതിയൽ വിശദീകരിക്കുന്നില്ല; രണ്ടും ഈ പാളിക്ക് മുകളിലാണ്.

ഒരേ സമയം രണ്ട് ക്ലയന്റുകൾക്കുള്ള മാപ്പിംഗ് പട്ടിക വായിക്കുക: രണ്ടും ഒരേ വിവർത്തന പോർട്ട് കാണിച്ചാൽ, ഗേറ്റ്വേ ആവശ്യപ്പെടുന്ന രീതിയിൽ ഉപകരണം അവയെ വേർതിരിക്കുന്നില്ല. ഒരു ഹോസ്റ്റിന് മാത്രം അടിസ്ഥാന ESP നൽകുന്ന പാസ്ത്രൂ മോഡ് പല വിവർത്തന ക്ലയന്റുകൾക്ക് സേവനം നൽകുന്നതിന് തുല്യമല്ല, വിൽപ്പനക്കാർ രണ്ടിനെയും IPsec-സൗഹൃദമെന്ന് വിശേഷിപ്പിച്ചാലും. ഇരട്ട NAT ഒരു മാപ്പിംഗ് പാളിയും മറ്റൊരു കാലഹരണ പോയിന്റും ചേർക്കുന്നു, പക്ഷേ പുറത്തേക്കുള്ള കണക്ഷനുകൾ സ്വയമേവ വിച്ഛേദിക്കുന്നില്ല.

ജീവനിലുള്ള ട്രാഫിക് പ്രവർത്തന മാന്വലിൽ സ്വന്തം വരിക്ക് അർഹമാണ്, കാരണം നിഷ്ക്രിയ കാലയളവുകളിൽ മറുപടി പാത തുറന്ന് നിർത്തുന്നത് അതാണ്. വിൽപ്പനക്കാർ രേഖപ്പെടുത്തിയിടത്ത് അത് പ്രവർത്തനക്ഷമമാക്കുക, സെഷൻ ആദ്യ ഉപയോഗത്തിലല്ല, കുറച്ച് മിനിറ്റ് നിശ്ശബ്ദതയ്ക്ക് ശേഷം മരിക്കുമ്പോൾ ആദ്യം അത് പരിശോധിക്കുക.

മാപ്പിംഗിന്റെ ഉടമയെ മാറ്റുക, പിന്നെ വീണ്ടും പരിശോധിക്കുക

പോർട്ട് ഊഹിക്കുന്നതിന് പകരം രണ്ട് കക്ഷികളിലും പിന്തുണയ്ക്കുന്ന NAT ട്രാവേഴ്സൽ ക്രമീകരണങ്ങൾ പിന്തുടരുക. ഒരു ക്ലയന്റിൽ ലോക്കൽ ഉറവിട പോർട്ട് എഡിറ്റ് ചെയ്താൽ ദൂരെ അറ്റത്ത് കേൾക്കുന്ന സേവനം മാറ്റാൻ കഴിയില്ല, സാധാരണയായി ഇതിനകം നിർമ്മിച്ച മാപ്പിംഗ് തകരും. ക്ലയന്റ് നിങ്ങൾ നിയന്ത്രിക്കാത്ത ഉപകരണത്തിന് പിന്നിലാണെങ്കിൽ, മാറ്റം അതിന്റെ ഉടമയുടേതാണ്.

ഏതെങ്കിലും മാറ്റത്തിന് ശേഷം രണ്ട് ഘട്ട പരിശോധനകളും ആവർത്തിച്ച്, സ്റ്റാറ്റസ് സ്ക്രീൻ പച്ചയായി എന്നത് മാത്രമല്ല, ഒരു ഡാറ്റ പാക്കറ്റ് കടക്കുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക. ട്യൂപിളുകൾ, മാപ്പിംഗ് പട്ടികയുടെ ഔട്ട്പുട്ട്, നിയമത്തിലെ മാറ്റം എന്നിവ ഒരു കുറിപ്പിൽ സൂക്ഷിക്കുക, അടുത്ത വ്യക്തി നിയന്ത്രണ കൈമാറ്റത്തിൽ നിന്ന് വീണ്ടും തുടങ്ങാതിരിക്കാൻ. NAT ട്രാവേഴ്സലിനെക്കുറിച്ചുള്ള strongSwan കുറിപ്പുകൾ രണ്ട് ഘട്ടങ്ങൾക്ക് പിന്നിലെ എൻകാപ്സുലേഷൻ, ജീവനിലുള്ള ക്രമീകരണങ്ങൾ എന്നിവ ഉൾക്കൊള്ളുന്നു.