NAT ਟ੍ਰਾਵਰਸਲ ESP ਨੂੰ UDP ਦੇ ਅੰਦਰ ਕਿਵੇਂ ਲਪੇਟਦਾ ਹੈ

ਇੱਕੋ ਰਾਊਟਰ ਪਿੱਛੇ ਦੇ ਦੋ ਕਲਾਇੰਟ ਇੱਕ IPsec ਗੇਟਵੇ ਨਾਲ ਗੱਲ ਕਰਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਲਗਾਤਾਰ ਡਿੱਗਦਾ ਰਹਿੰਦਾ ਹੈ ਜਦੋਂ ਕਿ ਦੂਜਾ ਜੁੜਿਆ ਰਹਿੰਦਾ ਹੈ। ਮੂਲ ESP 50 ਨੰਬਰ ਦਾ IP ਪ੍ਰੋਟੋਕੋਲ ਹੈ ਜਿਸ ਵਿੱਚ ਪੋਰਟ ਨਹੀਂ ਹਨ, ਇਸ ਲਈ ਜਦੋਂ ਕਈ ਕਲਾਇੰਟ ਇੱਕੋ ਪਤਾ ਸਾਂਝਾ ਕਰਦੇ ਹਨ ਤਾਂ ਅਨੁਵਾਦਕ ਕੋਲ ਮੈਪਿੰਗ ਲਈ ਫੜਨ ਵਾਲਾ ਕੁਝ ਨਹੀਂ ਹੁੰਦਾ। NAT ਟ੍ਰਾਵਰਸਲ 4500 'ਤੇ ESP ਨੂੰ UDP ਦੇ ਅੰਦਰ ਲਪੇਟ ਕੇ ਇਹ ਖਾਲੀ ਥਾਂ ਭਰਦਾ ਹੈ, ਅਤੇ ਉਹ ਹੈਡਰ ਅੱਗੇ ਆਉਣ ਵਾਲੇ ਬਹੁਤੇ ਲੱਛਣ ਸਮਝਾਉਂਦਾ ਹੈ। ਇਹ ਉਸ ਯੰਤਰ ਵੱਲ ਵੀ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ ਜਿਸਨੂੰ ਬਦਲਣਾ ਹੈ।

ਡੇਟਾ ਤਲ 4500 ਪੋਰਟ 'ਤੇ ਕਿਉਂ ਜਾਂਦਾ ਹੈ

ਸੈਟਅਪ ਦੌਰਾਨ IKEv2 ਹਰ ਧਿਰ ਵੱਲੋਂ ਵਰਤੇ ਜਾ ਰਹੇ ਸਮਝੇ ਜਾਂਦੇ ਪਤਿਆਂ ਅਤੇ ਪੋਰਟਾਂ ਦੀ ਤੁਲਨਾ ਕਰਦਾ ਹੈ, ਆਪਣੀਆਂ NAT ਖੋਜ ਸੂਚਨਾਵਾਂ ਵਿੱਚ ਹੈਸ਼ਾਂ ਦਾ ਵਟਾਂਦਰਾ ਕਰਕੇ। ਜਦੋਂ ਹੈਸ਼ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਤਾਂ ਮਾਰਗ ਵਿੱਚ ਕਿਤੇ ਇੱਕ ਅਨੁਵਾਦਕ ਬੈਠਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਧਿਰਾਂ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਨੂੰ UDP ਐਨਕੈਪਸੂਲੇਸ਼ਨ 'ਤੇ ਲੈ ਜਾਂਦੀਆਂ ਹਨ। ਇਸ ਲਈ ਅਨੁਵਾਦਕ ਨਾਲ ਮਿਲੀ ਸੈਸ਼ਨ ਨਾ ਮਿਲੀ ਸੈਸ਼ਨ ਤੋਂ ਵੱਖਰੀ ਦਿਸਦੀ ਹੈ।

ਲਪੇਟ ਇੱਕ ਲਿਫਾਫਾ ਹੈ, ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਤਬਦੀਲੀ ਨਹੀਂ: ESP ਆਪਣਾ ਹੈਡਰ, ਅਖੰਡਤਾ ਜਾਂਚ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ ਬਣਾਈ ਰੱਖਦਾ ਹੈ, ਅਤੇ UDP ਸਿਰਫ਼ ਉਹ ਪੋਰਟ ਦਿੰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਅਨੁਵਾਦਕ ਨੂੰ ਲੋੜ ਹੈ। ਪੋਰਟ 500 IKE ਵਟਾਂਦਰਾ ਢੋਂਦਾ ਹੈ; 4500 ਖੋਜ ਤੋਂ ਬਾਅਦ ਦਾ ਲਪੇਟਿਆ ਡੇਟਾ, ਅਤੇ ਅਕਸਰ ਬਾਅਦ ਦੇ IKE ਸੁਨੇਹੇ ਵੀ ਢੋਂਦਾ ਹੈ। ਕੋਈ ਵੀ ਪੋਰਟ ਪ੍ਰਵਾਹ ਨੂੰ TCP ਕਨੈਕਸ਼ਨ ਨਹੀਂ ਬਣਾਉਂਦਾ, ਇਹੀ ਧਾਰਨਾ ਕੈਪਚਰ ਪੜ੍ਹਨ ਵਾਲੇ ਬਹੁਤੇ ਲੋਕਾਂ ਨੂੰ ਭਟਕਾਉਂਦੀ ਹੈ।

ਦੋਵੇਂ ਪੜਾਅ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ

ਪਹਿਲਾਂ ਨਿਯੰਤਰਣ ਵਟਾਂਦਰਾ ਸਾਬਤ ਕਰੋ, ਫਿਰ ਡੇਟਾ ਮਾਰਗ, ਅਤੇ ਦੋਵਾਂ ਨੂੰ ਆਪਣੇ ਨੋਟਾਂ ਵਿੱਚ ਵੱਖਰਾ ਰੱਖੋ। ਜੋ ਕੈਪਚਰ 500 'ਤੇ ਟ੍ਰੈਫਿਕ ਦਿਖਾਉਂਦਾ ਹੈ ਪਰ 4500 'ਤੇ ਕਦੇ ਨਹੀਂ, ਆਮ ਤੌਰ 'ਤੇ ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਡੇਟਾ ਮਾਰਗ ਫਿਲਟਰ ਹੋ ਰਿਹਾ ਹੈ, ਇਸ ਲਈ ਸੁਧਾਰ ਕਲਾਇੰਟ ਵਿੱਚ ਨਹੀਂ, ਫਾਇਰਵਾਲ ਨਿਯਮ ਵਿੱਚ ਕਰਨਾ ਹੈ।

tcpdump -ni any 'udp port 500 or udp port 4500' ਨਾਲ ਦੋਵੇਂ ਪੋਰਟ ਦੇਖੋ, ਅਤੇ ਸੈਸ਼ਨ ਚਾਲੂ ਰਹਿੰਦਿਆਂ ਰਾਊਟਰ 'ਤੇ ਅਨੁਵਾਦ ਸਾਰਣੀ ਪੜ੍ਹੋ। ਉਹ ਸਾਰਣੀ ਗੇਟਵੇ ਵੱਲੋਂ ਅਸਲ ਵਿੱਚ ਦੇਖੇ ਜਾਣ ਵਾਲੇ ਸਰੋਤ ਪੋਰਟ ਨੂੰ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਲੈਪਟਾਪ 'ਤੇ ਕੈਪਚਰ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਹੀ ਉਸ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ: ਲੈਪਟਾਪ 500 ਮੰਨਦਾ ਹੈ ਜਦੋਂ ਕਿ ਗੇਟਵੇ ਅਨੁਵਾਦਿਤ ਸਰੋਤ ਪੋਰਟ ਸਮੇਤ 4500 ਦੇਖਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਸਹੀ ਹਨ। ਉਹੀ ਪ੍ਰਵਾਹ, ਅਨੁਵਾਦ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ ਬਾਅਦ:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

ਲਪੇਟ ਜਿਨ੍ਹਾਂ ਲੱਛਣਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਿਨ੍ਹਾਂ ਦੋ ਦੀ ਨਹੀਂ

ਅਜਿਹਾ ਰਾਊਟਰ ਜੋ ਨਿਯੰਤਰਣ ਵਟਾਂਦਰੇ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਪਰ ਲਪੇਟੇ ਡੇਟਾ ਨੂੰ ਰੋਕਦਾ ਹੈ 'ਟਨਲ ਉੱਪਰ ਹੈ ਪਰ ਕੁਝ ਵੀ ਲੰਘਦਾ ਨਹੀਂ' ਵਾਲੀ ਰਿਪੋਰਟ ਬਣਾਉਂਦਾ ਹੈ। ਮੈਪਿੰਗ ਸਾਰਣੀਆਂ ਦੀ ਮਿਆਦ ਖਤਮ ਹੁੰਦੀ ਹੈ, ਇਸ ਲਈ ਨਿਸ਼ਕਿਰਿਆ ਸੈਸ਼ਨ ਨੂੰ ਦੋਵੇਂ ਧਿਰਾਂ ਵੱਲੋਂ ਜਾਣਬੁੱਝ ਕੇ ਭੇਜੇ ਜਾਣ ਵਾਲੇ ਜੀਵਤ ਰੱਖਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਉਹ ਪੈਕਟ ਸਿਹਤ ਜਾਂਚ ਨਹੀਂ ਹਨ। ਜਦੋਂ ਇੱਕ ਗੇਟਵੇ ਪਿੱਛੇ ਕਈ ਕਲਾਇੰਟ ਇਕੱਠੇ ਫੇਲ ਹੁੰਦੇ ਹਨ, ਤਾਂ ਉਸ ਗੇਟਵੇ ਦਾ ਅਨੁਵਾਦ ਅਤੇ ਕੋਈ ਵੀ ਪੁਰਾਣੀ ਪਾਸਥਰੂ ਸੁਵਿਧਾ ਜਾਂਚੋ। ਲਪੇਟ ਉਸ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਵਿਆਖਿਆ ਨਹੀਂ ਕਰਦਾ ਜੋ ਟਨਲ ਚੜ੍ਹਨ ਤੋਂ ਬਾਅਦ ਹਰ ਕਲਾਇੰਟ 'ਤੇ ਫੇਲ ਹੁੰਦੀ ਹੈ, ਜਾਂ ਬਲਾਕ ਪੰਨੇ 'ਤੇ ਸਰਟੀਫਿਕੇਟ ਚੇਤਾਵਨੀ ਦੀ; ਦੋਵੇਂ ਇਸ ਪਰਤ ਤੋਂ ਉੱਪਰ ਹਨ।

ਇੱਕੋ ਸਮੇਂ ਦੋ ਕਲਾਇੰਟਾਂ ਲਈ ਮੈਪਿੰਗ ਸਾਰਣੀ ਪੜ੍ਹੋ: ਜੇ ਦੋਵੇਂ ਇੱਕੋ ਅਨੁਵਾਦਿਤ ਪੋਰਟ ਦਿਖਾਉਂਦੇ ਹਨ, ਤਾਂ ਯੰਤਰ ਉਨ੍ਹਾਂ ਨੂੰ ਉਵੇਂ ਵੱਖ ਨਹੀਂ ਕਰ ਰਿਹਾ ਜਿਵੇਂ ਗੇਟਵੇ ਚਾਹੁੰਦਾ ਹੈ। ਜੋ ਪਾਸਥਰੂ ਮੋਡ ਸਿਰਫ਼ ਇੱਕ ਹੋਸਟ ਨੂੰ ਮੂਲ ESP ਦਿੰਦਾ ਹੈ, ਉਹ ਕਈ ਅਨੁਵਾਦਿਤ ਕਲਾਇੰਟਾਂ ਦੀ ਸੇਵਾ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ, ਹਾਲਾਂਕਿ ਵਿਕਰੇਤਾ ਦੋਵਾਂ ਨੂੰ IPsec-ਅਨੁਕੂਲ ਦੱਸਦੇ ਹਨ। ਦੋਹਰਾ NAT ਮੈਪਿੰਗ ਦੀ ਇੱਕ ਪਰਤ ਅਤੇ ਇੱਕ ਹੋਰ ਮਿਆਦ ਖਤਮ ਹੋਣ ਬਿੰਦੂ ਜੋੜਦਾ ਹੈ, ਪਰ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਕਨੈਕਸ਼ਨ ਆਪਣੇ ਆਪ ਨਹੀਂ ਤੋੜਦਾ।

ਜੀਵਤ ਰੱਖਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਦੀ ਸੰਚਾਲਨ ਪੁਸਤਿਕਾ ਵਿੱਚ ਆਪਣੀ ਅਲੱਗ ਲਾਈਨ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਨਿਸ਼ਕਿਰਿਆ ਸਮਿਆਂ ਵਿੱਚ ਜਵਾਬ ਦਾ ਮਾਰਗ ਖੁੱਲ੍ਹਾ ਰੱਖਣ ਦਾ ਕੰਮ ਉਹੀ ਕਰਦਾ ਹੈ। ਇਸਨੂੰ ਉੱਥੇ ਸਮਰੱਥ ਕਰੋ ਜਿੱਥੇ ਵਿਕਰੇਤਾ ਇਸਦਾ ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਸੈਸ਼ਨ ਪਹਿਲੀ ਵਰਤੋਂ 'ਤੇ ਨਹੀਂ ਬਲਕਿ ਕੁਝ ਮਿੰਟਾਂ ਦੀ ਚੁੱਪ ਤੋਂ ਬਾਅਦ ਮਰਦੀ ਹੈ ਤਾਂ ਪਹਿਲਾਂ ਉਹੀ ਜਾਂਚੋ।

ਮੈਪਿੰਗ ਦਾ ਮਾਲਕ ਬਦਲੋ, ਫਿਰ ਦੁਬਾਰਾ ਟੈਸਟ ਕਰੋ

ਪੋਰਟ ਦਾ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਬਜਾਏ ਦੋਵੇਂ ਧਿਰਾਂ 'ਤੇ ਸਮਰਥਿਤ NAT ਟ੍ਰਾਵਰਸਲ ਸੈਟਿੰਗਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ। ਇੱਕ ਕਲਾਇੰਟ 'ਤੇ ਸਥਾਨਕ ਸਰੋਤ ਪੋਰਟ ਦੁਬਾਰਾ ਸੰਪਾਦਿਤ ਕਰਨ ਨਾਲ ਦੂਜੇ ਸਿਰੇ 'ਤੇ ਸੁਣ ਰਹੀ ਸੇਵਾ ਨਹੀਂ ਬਦਲ ਸਕਦੀ, ਅਤੇ ਇਹ ਆਮ ਤੌਰ 'ਤੇ ਪਹਿਲਾਂ ਹੀ ਬਣੀ ਮੈਪਿੰਗ ਤੋੜ ਦਿੰਦਾ ਹੈ। ਜੇ ਕਲਾਇੰਟ ਤੁਹਾਡੇ ਕਾਬੂ ਤੋਂ ਬਾਹਰ ਦੇ ਯੰਤਰ ਪਿੱਛੇ ਹੈ, ਤਾਂ ਬਦਲਾਅ ਉਸਦੇ ਮਾਲਕ ਦਾ ਹੈ।

ਕਿਸੇ ਵੀ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਦੋਵੇਂ ਪੜਾਅ ਜਾਂਚਾਂ ਦੁਹਰਾਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਡੇਟਾ ਪੈਕਟ ਲੰਘ ਰਿਹਾ ਹੈ, ਸਿਰਫ਼ ਇਹ ਨਹੀਂ ਕਿ ਸਥਿਤੀ ਸਕ੍ਰੀਨ ਹਰੀ ਹੋ ਗਈ। ਟਿਊਪਲ, ਮੈਪਿੰਗ ਸਾਰਣੀ ਦਾ ਆਉਟਪੁੱਟ ਅਤੇ ਨਿਯਮ ਦਾ ਬਦਲਾਅ ਇੱਕ ਹੀ ਨੋਟ ਵਿੱਚ ਰੱਖੋ, ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਨਿਯੰਤਰਣ ਵਟਾਂਦਰੇ ਤੋਂ ਦੁਬਾਰਾ ਸ਼ੁਰੂ ਨਾ ਕਰੇ। NAT ਟ੍ਰਾਵਰਸਲ ਬਾਰੇ strongSwan ਦੇ ਨੋਟ ਦੋਵੇਂ ਪੜਾਵਾਂ ਪਿੱਛੇ ਦੀ ਐਨਕੈਪਸੂਲੇਸ਼ਨ ਅਤੇ ਜੀਵਤ ਰੱਖਣ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ।