IPsec NAT-ийн дамжуулалт ESP-г UDP дотор хэрхэн ороох вэ

Нэг чиглүүлэгчийн ард байгаа хоёр клиент нэг IPsec гарцтай ярьдаг бөгөөд нэг нь байнга тасардаг бол нөгөө нь холбогдсон хэвээр байна. Анхны ESP нь портгүй 50-р IP протокол тул хэд хэдэн клиент нэг хаягийг хуваалцахад орчуулагч зураглал хийх ямар ч зүйлгүй. NAT-ийн дамжуулалт ESP-г 4500 дээр UDP дотор ороож энэ цоорхойг нөхөх бөгөөд тэр толгой нь дараагийн ихэнх шинж тэмдгийг тайлбарладаг. Мөн өөрчлөх ёстой төхөөрөмжийг заадаг.

Өгөгдлийн хавтгай яагаад 4500 порт руу шилждэг вэ

Тохиргооны үед IKEv2 тал бүр хэрэглэж байна гэж боддог хаяг, портуудыг өөрийн NAT илрүүлэх мэдэгдэлд хэш солилцож харьцуулдаг. Хэшүүд таарахгүй бол замын хаа нэгтээ орчуулагч сууж байна, хоёр тал хамгаалагдсан урсгалыг UDP капсул руу шилжүүлдэг. Тиймээс орчуулагчтай тулгарсан сесс тулгараагүйгээс өөр харагдана.

Ороолт нь дугтуй, протоколын өөрчлөлт биш: ESP өөрийн толгой, бүрэн бүтэн байдлын шалгалт, шифрлэлтийг хадгална, UDP нь орчуулагчид хэрэгтэй портуудыг л өгдөг. 500 порт IKE солилцоог зөөдөг; 4500 нь илрүүлэлтийн дараах капсуллагдсан өгөгдөл, ихэвчлэн дараагийн IKE мэдэгдлийг ч зөөдөг. Аль ч порт урсгалыг TCP холболт болгодоггүй, энэ таамаг снимок уншиж буй ихэнх хүнийг төөрөгдүүлдэг.

Хоёр үе шатыг дарааллаар нь шалга

Эхлээд хяналтын солилцоог, дараа нь өгөгдлийн замыг нотлоод, хоёуланг нь тэмдэглэлдээ тус тусад нь хадгал. 500 дээр урсгал харуулж, 4500 дээр хэзээ ч харуулахгүй снимок ихэвчлэн өгөгдлийн зам шүүгдэж байгааг илтгэнэ, тиймээс засвар нь клиентэд биш, галт ханын дүрэмд хамаарна.

Хоёр портыг tcpdump -ni any 'udp port 500 or udp port 4500' ашиглан ажиглаж, сесс амьд байх үед чиглүүлэгч дээрх орчуулгын хүснэгтийг уншина. Тэр хүснэгт гарц үнэхээр харах эх портыг харуулдаг бөгөөд зөөврийн компьютер дээрх снимок зохион байгуулалтаараа түүнтэй салдаг: зөөврийн компьютер 500 гэж үздэг бол гарц орчуулсан эх порттой 4500-г хардаг, хоёулаа зөв. Ижил урсгал, орчуулгын өмнө болон дараа:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Ороолт тайлбарладаг шинж тэмдгүүд, мөн тайлбарладаггүй хоёр

Хяналтын солилцоог зөвшөөрч, капсуллагдсан өгөгдлийг хаадаг чиглүүлэгч «төнгөлөг өргөгдсөн ч юу ч нэвтрэхгүй» гэсэн тайланг үүсгэдэг. Зураглалын хүснэгтүүд хугацаа дуусдаг тул идэвхгүй сесс талууд санаатай илгээдэг амьд байлгах урсгал шаарддаг, тэдгээр пакет нь эрүүл мэндийн шалгалт биш. Нэг гарцын ард хэд хэдэн клиент хамт бүтэлгүйтвэл тэр гарцын орчуулга болон хуучин дамжуулах функцийг шалга. Ороолт нь төнгөлөг өргөгдсөний дараа бүх клиентэд бүтэлгүйтдэг програмыг ч, блоклох хуудасны гэрчилгээний анхааруулгыг ч тайлбарлахгүй; хоёулаа энэ давхаргаас дээгүүр.

Зураглалын хүснэгтийг хоёр клиентийн хувьд нэгэн зэрэг унш: хэрэв хоёулаа ижил орчуулсан портыг харуулбал төхөөрөмж тэднийг гарцын шаардсанаар тусгаарлахгүй байна. Анхны ESP-г зөвхөн нэг хостод өгдөг дамжуулах горим нь хэд хэдэн орчуулсан клиентэд үйлчлэхтэй адилгүй, худалдагчид хоёуланг нь IPsec-д ээлтэй гэж тодорхойлдог ч. Давхар NAT нь зураглалын давхарга, өөр нэг хугацаа дуусах цэг нэмдэг боловч гадагш холболтыг автоматаар таслахгүй.

Амьд байлгах урсгал нь ашиглалтын гарын авлагад өөрийн гэсэн мөртэй байх ёстой, учир нь идэвхгүй үед хариу замыг нээлттэй байлгадаг нь тэр. Худалдагч баримтжуулсан газарт идэвхжүүлж, сесс эхний хэрэглээнд биш, хэдэн минутын чимээгүйн дараа үхэх үед эхлээд түүнийг шалга.

Зураглалын эзэмшигчийг соль, дараа нь дахин турш

Портыг таамаглахын оронд хоёр талд дэмжигдсэн NAT-ийн дамжуулалтын тохиргоог дага. Нэг клиент дээрх локал эх портыг засах нь нөгөө үзүүрт сонсож буй үйлчилгээг өөрчилж чадахгүй бөгөөд ихэвчлэн аль хэдийн барьсан зураглалыг эвддэг. Хэрэв клиент таны хянадаггүй төхөөрөмжийн ард байвал өөрчлөлт нь түүний эзэмшигчид хамаарна.

Аливаа өөрчлөлтийн дараа хоёр үе шатын шалгалтыг давтаж, зөвхөн төлөвийн дэлгэц ногоон болсныг бус өгөгдлийн пакет нэвтэрч байгааг батал. Хослолууд, зураглалын хүснэгтийн гаралт, дүрмийн өөрчлөлтийг нэг тэмдэглэлд хадгал, дараагийн хүн хяналтын солилцооноос дахин эхлэхгүйн тулд. strongSwan-ийн NAT-ийн дамжуулалтын тухай тэмдэглэл хоёр үе шатын ард байгаа капсул болон амьд байлгах тохиргоог хамарна.