strongSwan ESP-in-UDP: meta ma jkunx hemm NAT x'jinstab

Is-sejba tan-NAT issib it-traduzzjoni tal-indirizzi, mhux il-politika tal-firewall. Konnessjoni tas-sit mingħajr NAT tista' xorta teħtieġ għażla espliċita ta' ESP-in-UDP.

Is-sejba tan-NAT twieġeb mistoqsija waħda: inbidlu l-indirizzi jew il-portijiet fil-vjaġġ? Ma twieġebx jekk firewall jippermettix il-protokoll IP 50. Gateway tas-sit mingħajr ebda traduzzjoni xorta jistgħu jkunu wara politika li twarrab native ESP, u dik il-ħtieġa trid tiġi kkonfigurata minflok ma tinstab. Il-mekkaniżmu huwa ESP-in-UDP, u din hija deċiżjoni, mhux rikors li jidher waħdu.

Is-sejba hija aritmetika fuq l-indirizzi, mhux stħarriġ tal-firewall

IKEv2 iġorr tagħbijiet tas-sejba tan-NAT li jkun fihom ħasjiet tal-indirizzi u l-portijiet tas-sors u d-destinazzjoni. Kull naħa tqabbel dak li rċeviet ma' dak li tara lokalment, u nuqqas ta' qbil jgħidilha li xi ħaġa tradott il-pakkett. Xejn f'dan l-iskambju ma jittestja jekk router fin-nofs jgħaddix il-protokoll 50.

Il-konsegwenza prattika tajjeb jingħad biċ-ċar. Mina li ħadmet b'native ESP mhux se ssib waħedha firewall ġdid restrittiv, u l-attentat li jmiss tagħha jonqos fl-istadju tad-data waqt li IKE jibqa' jirnexxi. Int ser tara assoċjazzjonijiet ta' sigurtà IKE stabbiliti u ebda traffiku protett, li jidher bħal ħsara fl-irrotar sakemm taqbad fuq il-wajer.

L-inkapsulament għalhekk hija proprjetà tal-konnessjoni li tikkonfigura, mhux riżultat li l-pari jinnegozjaw mill-imġiba tan-netwerk.

Kif encap ibiddel l-iskambju

F'implimentazzjoni moderna ta' strongSwan immexxija permezz ta' swanctl.conf, is-setting encap = yes fuq il-konnessjoni tinfluwenza l-iskambju tas-sejba tan-NAT biex iż-żewġ pari jużaw inkapsulament UDP għal ESP. Il-pakketti protetti mbagħad jivvjaġġaw ġewwa UDP, normalment fuq port 4500, u ż-żewġ trufijiet iridu jaqblu fuq dak l-arranġament.

connections {
    site {
        encap = yes
        # existing approved peer, authentication and child settings
    }
}

Dak il-framment jappartjeni ġewwa definizzjoni reali tal-konnessjoni u mhux profil tas-sit sħiħ. Żomm l-indirizzi tal-pari, l-awtentikazzjoni u l-għażliet tat-traffiku child li diġà qed tħaddem; l-unika ċavetta miżjuda tbiddel kif jiġu involuti d-data protetti, mhux x'jipproteġu.

Il-gwida ta' strongSwan dwar NAT-traversal tiddeskrivi din l-imġiba, inkluż l-interazzjoni mal-port floating meta jintuża MOBIKE.

Uża s-setting li tappartjeni lill-backend tiegħek

strongSwan għandu żewġ backends tal-konfigurazzjoni, u ċ-ċavetta hija differenti bejniethom. swanctl.conf konnessjoni tieħu encap, filwaqt li ipsec.conf konnessjoni eqdem tieħu forceencaps. It-tqegħid ta' kelma ewlenija ta' backend wieħed fl-ieħor jipproduċi konfigurazzjoni li tgħabbi mingħajr ilment u ma tbiddel xejn, li hija agħar minn żball.

Iċċekkja liema daemon fil-fatt qed jaħdem qabel ma teditja xejn. F'ħafna distribuzzjonijiet iż-żewġ fajls jeżistu għax wieħed huwa fdal ta' migrazzjoni preċedenti, u l-attiv huwa dak li jibda l-unità tas-servizz. Aqra dik l-unità minflok ma taħseb mill-marki tal-ħin tal-fajls. Ċekk ta' ħames sekondi hawn jipprevjeni sigħat ta' ttestjar ta' setting li xejn ma għabbieha.

Applika l-bidla permezz tas-sid tal-konnessjoni u erġa' stabbilixxi l-assoċjazzjoni f'tieqa kkontrollata. Child li diġà huwa installat iżomm l-inkapsulament attwali tiegħu sakemm jiġi sostitwit, għalhekk editjar tal-fajl waħdu ma jippruvax li l-arranġament il-ġdid qed jintuża.

Ivverifika d-data involuta, mhux biss il-port

Aqbad fuq il-gateway waqt li ttraffika traffiku protett, imbagħad qabbel dan mal-fehma ta' strongSwan stess:

$ sudo tcpdump -ni eth0 'udp port 4500' -c 20
$ sudo swanctl --list-sas --ike site
$ sudo ip xfrm state list

Native ESP jidher bħala protokoll IP 50 u ma jixbah xejn lil UDP. ESP involut jidher bħala datagrammi UDP fuq 4500 li t-tagħbija tagħhom mhix IKE. It-traffiku IKE fuq dak l-istess port mhuwiex prova ta' inkapsulament, għax MOBIKE jista' jmexxi IKE hemmhekk waqt li l-passaġġ tad-data jibqa' native, għalhekk aqra t-tagħbija, mhux in-numru tal-port.

Żomm f'moħħok ukoll l-MTU tal-passaġġ. L-involukru jżid spejjeż żejda, u passaġġ li kien iġorr native ESP jista' jeħtieġ aġġustamenti meta l-pakketti jikbru. L-immaniġġjar tal-ICMP meħtieġ għandu diġà jkun parti mid-disinn; l-inkapsulament ma jneħħix dik id-dipendenza.

Aċċetta l-bidla meta traffiku ġdid tal-applikazzjonijiet fil-mina jidher fil-qabda bħala ESP involut f'żewġ trufijiet, u meta s-servizz intern u r-rotta tar-ritorn tiegħu għadhom jaħdmu. Xi ħaġa inqas hija konfigurazzjoni li tidher tajba f'fajl.

Artikli relatati