L2TP/IPsec permezz ta’ NAT: x’jinkiser tassew u għaliex

It-talba li NAT jikser L2TP/IPsec hija nofsha vera u għalhekk inutli. It-traduzzjoni tal-indirizzi hija normali, it-traversal NAT jeżisti propju biex jibqa’ ħaj minnha, u eluf ta’ miljuni ta’ klijenti jingħaqdu kuljum minn wara router. Dak li jinkiser hu fażi speċifika ta’ skambju speċifiku: IKE qatt ma jirċievi tweġiba, it-tunnel inkapsulat jintrema minn politika li tippermetti protokoll wieħed biss, jew il-mapping tat-traduzzjoni jiskadi waqt li t-tunnel ma jkunx qed jintuża. Ladarba tkun taf f’liema fażi int, it-tiswija tkun normalment regola waħda jew keepalive u mhux disinn ġdid ta’ VPN.

Il-mit huwa l-mistoqsija ħażina

Il-mistoqsija utli mhijiex “NAT jikser dan” iżda “liema parti mill-iskambju qed tiġi tradotta, u x’jagħmel magħha l-apparat li jittraduċi”. L2TP/IPsec huwa protokoll f’saffi: IKE jinnegozja, ESP jipproteġi, u L2TP iġorr PPP ġewwa dik il-protezzjoni. It-traduzzjoni tal-indirizzi tinteraġixxi b’mod differenti ma’ kull saff, u l-firem tal-falliment jistgħu jiġu distinti jekk tħares lejn il-fażi tan-negozjati u mhux id-djalogu tal-iżball.

Router li jinaviga x-xibka b’suċċess juri biss li TCP bit-traduzzjoni tal-port tas-sors jaħdem. Ma jgħid xejn dwar UDP 500, UDP 4500 jew protokoll 50, u dawn it-tlieta huma dak li jiddependi fuqhom dan id-deployment.

Fażi 1: IKE irid jirċievi tweġiba xorta waħda

L-ewwel skambju jmur għand min iwieġeb fuq UDP 500. Jekk ma tiġi l-ebda tweġiba lura, xejn ieħor ma jimporta: iċ-ċavetta maqsuma minn qabel, il-proposta u l-kredenzjali kollha jibqgħu mhux moqrija. Osserva t-talba u t-tweġiba minflok ma tiddeduċi mill-timeout tal-klijent:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Talba mingħajr tweġiba normalment tfisser li firewall jew l-operatur ’il fuq qed jarmi l-pakkett, mhux li s-server ċaħdu. Tweġiba b’tagħbija ta’ notifika li ssemmi proposta jew problema ta’ ċertifikat tfisser li l-pakketti waslu u n-negozjati falla fuq il-kontenut, li hija tiswija kompletament differenti.

Meta ż-żewġ naħat ikunu wara traduzzjoni, min jibda jrid biss jilħaq lil min iwieġeb, għalhekk ħafna mid-deployments fuq in-naħa tal-klijent jaħdmu mill-fażi 1. Il-hosting fuq in-naħa tas-server huwa fejn jibda l-problema tal-input, u għalhekk iż-żewġ sitwazzjonijiet qatt m’għandhom jiġu diskussi bħala waħda.

Fażi 2: l-inkapsulament ibiddel dak li jara l-firewall

ESP huwa protokoll IP, mhux port TCP jew UDP, u t-traduzzjoni tal-indirizzi tal-portijiet ordinarja m’għandhiex qasam tal-port biex terġa’ tikteb fih. Għalhekk it-traversal NAT iċċaqlaq it-tagħbija protetta ġewwa UDP 4500: l-inkapsulament jagħti lill-apparat li jittraduċi xi ħaġa li jaf kif jittraduċiha. Ladarba dan jiġri, regola tal-firewall miktuba biss għal UDP 500 tippermetti n-negozjati u tarmi t-tunnel, li tipproduċi r-riżultat konfuż fejn il-log juri fażi 1 b’suċċess u l-ebda traffiku.

L-iskambju IKE nnifsu jista’ wkoll jgħaddi għal UDP 4500 wara li jinqabad NAT, li jissorprendi lil dawk li ppermettew 500 u xejn aktar. Ippermetti ż-żewġ portijiet fiż-żewġ direzzjonijiet fil-passaġġ, u ftakar li firewall bl-istat iżomm il-fluss biss sakemm jara traffiku.

Il-protokoll 50 għadu importanti fuq passaġġi mingħajr traduzzjoni, u fuq passaġġi fejn kaxxa intermedja hija kkonfigurata biex tippermettiha. Jekk qed tiddijanjostika b’eliminazzjoni, itfi l-ipoteżi minflok ma żżid regoli bl-amment: ippermetti 500, 4500 u ESP, ikkonferma li t-tunnel titla’, imbagħad neħħi dak li rriżulta bla bżonn. Regola li ħadd ma jista’ jispjega hija regola li ħadd mhu se jneħħi meta ssir il-kawża tal-waqfa li jmiss. Ikteb id-dejq fil-log tal-bidliet flimkien mal-fażi li sewwiet, sabiex l-inġinier li jmiss jibda mill-evidenza tiegħek u mhux mill-istess regola empirika.

Fażi 3: il-mapping jiskadi u t-tunnel tmut

Apparat li jittraduċi jżomm stat għall-flussi li jgħaddi, u dak l-istat għandu tul tal-ħajja. Tunnel L2TP/IPsec iġorr ftit traffiku meta ħadd ma jużah, għalhekk tunnel inattiv jista’ jgħix aktar mill-mapping tiegħu u jieqaf jirċievi traffiku lura. Il-klijent jibqa’ konvint li hu konness, is-server ma jara xejn, u l-ewwel sintomu normalment huwa timeout ta’ applikazzjoni u mhux żball ta’ VPN.

L-iskoperta tal-peer mejjet u l-keepalives NAT jeżistu għal dan, u ż-żewġt itruf iridu jkunu lesti jibagħtuhom. Jekk is-server tiegħek huwa wara traduzzjoni, il-ħtieġa fuq in-naħa ta’ Windows hija setting tar-reġistru dokumentat li jagħmel is-server jassumi inkapsulament UDP għall-pakketti tiegħu li joħorġu; mingħajru min iwieġeb jibgħat ESP li l-apparat li jittraduċi ma jistax jerġa’ jimmappja. Din hija kwistjoni ta’ konfigurazzjoni tas-server, mhux tal-klijent.

Bidla fl-indirizz WAN tipproduċi l-istess riżultat minn direzzjoni oħra: il-mapping jerġa’ jinbena madwar indirizz ġdid, u l-assoċjazzjoni tas-sigurtà l-qadima issa tindika lejn tuple li m’għadhiex teżisti. L-imġiba tar-rikonnessjoni tappartjeni lill-implimentazzjoni tal-klijent, u għalhekk “erġa’ qabbad wara li r-router jerġa’ jibda” taħdem fuq klijent wieħed u fuq ieħor teħtieġ swiċċ manwali.

L-hosting wara NAT tal-operatur hija problema differenti

Jekk tixtieq tospita server L2TP/IPsec id-dar u tilħaq lilu minn barra, il-ħtieġa hija aċċessabbiltà ta’ input mhux mitluba, u dan mhuwiex dak li jipprovdi t-traversal NAT. NAT tal-operatur quddiem ir-router tiegħek ifisser li m’hemm l-ebda port li tista’ tressaq li jagħmlek aċċessibbli, għax l-indirizz pubbliku huwa maqsum u l-mapping huwa biss ħiereġ.

L-ebda kaxxa tal-IPsec pass-through ma tbiddel dan, u l-ebda konfigurazzjoni tal-klijent ma tikkumpensa għalih. It-tweġibiet appoġġjati huma indirizz li huwa tassew aċċessibbli, endpoint ospitat, jew arkitettura fejn kull parteċipant jagħmel konnessjoni ħierġa. Dwar l-ispeċifikazzjoni tal-inkapsulament UDP din issolvi l-problema tat-traduzzjoni għall-flussi li jeżistu; ma toħloqx passaġġ ta’ input fejn l-operatur ma joffrix wieħed.

Mela qabbel ix-xibkiet minflok ma taħseb bl-addoċċ. Ħu l-istess apparat u profil għal xibka permessa oħra u ara liema fażi tfalli hemm. Jekk taħdem band’oħra, id-differenza hija fil-passaġġ, u dan iddejjaq it-tiftix għat-tliet fażijiet ta’ fuq minflok għall-konfigurazzjoni kollha.