Kif it-traversal NAT jgeżwer l-ESP ġewwa UDP

Żewġ klijenti wara l-istess router jitkellmu ma' gateway IPsec wieħed, u wieħed jibqa' jaqa' filwaqt li l-ieħor jibqa' mqabbad. L-ESP nattiv huwa l-protokoll IP 50 mingħajr portijiet, għalhekk it-traduċitur m'għandux x'jorbot mappa miegħu meta diversi klijenti jaqsmu indirizz wieħed. It-traversal NAT jagħlaq dan il-vojt billi jgeżwer l-ESP f'UDP fuq 4500, u dak l-intestatura jispjega ħafna mis-sintomi li jsegwu. Huwa jindika wkoll it-tagħmir li għandu jinbidel.

Għaliex il-pjan tad-data jitmexxa għall-port 4500

Matul is-setup IKEv2 iqabbel l-indirizzi u l-portijiet li kull naħa taħseb li qed tuża, billi jiskambja hashes fin-notifiki tiegħu ta' skoperta NAT. Meta l-hashes ma jaqblux, hemm traduċitur f'xi mkien fit-triq, u ż-żewġ naħat jibdlu t-traffiku protett għal inkapsulament UDP. Għalhekk sessjoni li ltaqgħet ma' traduċitur tidher differenti minn waħda li ma ltaqgħetx.

Il-geżwer huwa pakkett, mhux bidla fil-protokoll: L-ESP iżomm l-intestatura, il-verifika tal-integrità u l-kriptaġġ tiegħu, u UDP jipprovdi biss il-portijiet li jeħtieġ it-traduċitur. Il-port 500 iġorr l-iskambju IKE; l-4500 iġorr id-data inkapsulata wara l-iskoperta, u spiss ukoll il-messaġġi IKE aktar tard. L-ebda port ma jagħmel il-fluss konnessjoni TCP, suppożizzjoni li tqarraq b'ħafna mill-persuni li jaqraw qabda.

Iċċekkja ż-żewġ stadji fl-ordni

L-ewwel ipprova l-iskambju tal-kontroll, imbagħad il-mogħdija tad-data, u żomm it-tnejn separati fin-noti tiegħek. Qabda li turi traffiku fuq 500 u qatt fuq 4500 normalment tfisser li l-mogħdija tad-data hija ffiltrata, għalhekk is-sewwieq jappartjeni għar-regola tal-firewall u mhux għall-klijent.

Wettaq iż-żewġ portijiet b'tcpdump -ni any 'udp port 500 or udp port 4500', u aqra t-tabella tat-traduzzjoni fuq ir-router waqt li s-sessjoni tkun ħajja. Dik it-tabella turi l-port tas-sors li l-gateway se jara verament, u qabda fuq il-laptop ma taqbilx bi d-disinn: il-laptop jemmen 500 filwaqt li l-gateway jara 4500 b'port tas-sors tradott, u t-tnejn huma korretti. L-istess fluss, qabel u wara t-traduzzjoni:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Sintomi li jispjega l-geżwer, u tnejn li ma jispjegax

Router li jippermetti l-iskambju tal-kontroll u jimblokka d-data inkapsulata jipproduċi r-rapport li t-tunnel huwa 'l fuq imma xejn ma jgħaddi. It-tabelli tal-mapping jiskadu, għalhekk sessjoni inattiva teħtieġ traffiku ta' żamma li n-naħat jibagħtu apposta, u dawk il-pakketti mhumiex verifiki tas-saħħa. Meta diversi klijenti wara gateway wieħed jonqsu flimkien, eżamina t-traduzzjoni ta' dak il-gateway u kwalunkwe karatteristika passthrough antika. Il-geżwer ma jispjegax applikazzjoni li tonqos għal kull klijent wara li jitla' t-tunnel, u lanqas twissija ta' ċertifikat fuq paġna ta' blokk; it-tnejn jinsabu 'l fuq minn dan is-saff.

Aqra t-tabella tal-mapping għal żewġ klijenti f'daqqa: jekk it-tnejn juru l-istess port tradott, it-tagħmir mhuwiex jifridhom kif jeħtieġ il-gateway. Mod passthrough li jagħti ESP nattiv lil host wieħed biss mhuwiex ekwivalenti għal servizz lil diversi klijenti tradotti, għalkemm il-fornituri jiddeskrivu t-tnejn bħala favur IPsec. NAT doppju jżid saff ta' mapping u punt ieħor ta' skadenza, imma ma jaqtax il-konnessjonijiet ħerġin awtomatikament.

It-traffiku ta' żamma jistħoqqlu linja tiegħu fil-manwal operattiv, għax huwa dak li jżomm il-mogħdija tar-risposta miftuħa fil-perjodi ta' inattività. Ippermettih fejn il-fornitur jiddokumentah, u ċċekkjah l-ewwel meta sessjoni tmut wara xi minuti ta' silenzju u mhux fl-ewwel użu.

Ibdel is-sid tal-mapping, imbagħad erġa' ttestja

Segwi l-issettjar tat-traversal NAT appoġġjat fuq iż-żewġ naħat minflok ma taqta' port b'ħafna. L-editjar tal-port tas-sors lokali fuq klijent wieħed ma jistax ibiddel is-servizz li qed jisma' fit-tarf l-ieħor, u normalment ikisser il-mapping li diġà nbena. Jekk il-klijent jinsab wara tagħmir li int ma tikkontrollax, il-bidla tappartjeni lis-sid tiegħu.

Wara kwalunkwe bidla, erġa' agħmel iż-żewġ verifiki tal-istadji u kkonferma li pakkett tad-data jgħaddi, mhux biss li l-iskrin tal-istat sar aħdar. Żomm it-tuples, il-ħruġ tat-tabella tal-mapping u l-bidla tar-regola f'nota waħda, sabiex il-persuna li jmiss ma terġax tibda mill-iskambju tal-kontroll. In-noti ta' strongSwan dwar it-traversal NAT ikopru l-issettjar tal-inkapsulament u taż-żamma wara ż-żewġ stadji.