Cum traversal NAT împachetează ESP în UDP

Doi clienți în spatele aceluiași router vorbesc cu un singur gateway IPsec, iar unul pică continuu în timp ce celălalt rămâne conectat. ESP nativ este protocolul IP 50 fără porturi, așa că un traducător nu are pe ce să ancoreze o mapare atunci când mai mulți clienți împart o adresă. Traversal NAT închide această breșă împachetând ESP în UDP la 4500, iar antetul respectiv explică majoritatea simptomelor care urmează. Indică și dispozitivul care trebuie modificat.

De ce planul de date se mută pe portul 4500

În timpul configurării, IKEv2 compară adresele și porturile pe care fiecare parte crede că le folosește, schimbând hash-uri în notificările sale de detectare NAT. Când hash-urile nu coincid, undeva pe traseu se află un traducător, iar ambele părți trec traficul protejat la încapsularea UDP. De aceea o sesiune care a întâlnit un traducător arată altfel decât una care nu a întâlnit.

Împachetarea este un plic, nu o schimbare de protocol: ESP își păstrează antetul, verificarea integrității și criptarea, iar UDP furnizează doar porturile de care are nevoie traducătorul. Portul 500 transportă schimbul IKE; 4500 transportă datele încapsulate după detectare și adesea și mesajele IKE ulterioare. Niciunul dintre porturi nu face din flux o conexiune TCP, o presupunere care îi induce în eroare pe majoritatea celor care citesc o captură.

Verificați cele două etape în ordine

Dovediți mai întâi schimbul de control, apoi calea de date, și țineți-le separate în notele dumneavoastră. O captură care arată trafic pe 500 și niciodată pe 4500 înseamnă de obicei că calea de date este filtrată, așa că remedierea aparține regulii de firewall, nu clientului.

Urmăriți ambele porturi cu tcpdump -ni any 'udp port 500 or udp port 4500' și citiți tabelul de traducere de pe router cât timp sesiunea este activă. Tabelul arată portul sursă pe care gateway-ul îl va vedea efectiv, iar o captură pe laptop diferă prin proiectare: laptopul crede 500, în timp ce gateway-ul vede 4500 cu un port sursă tradus, și ambele sunt corecte. Același flux, înainte și după traducere:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptome pe care împachetarea le explică, și două pe care nu

Un router care permite schimbul de control și blochează datele încapsulate produce raportul că tunelul este sus, dar nu trece nimic. Tabelele de mapare expiră, așa că o sesiune inactivă are nevoie de trafic de întreținere pe care părțile îl trimit intenționat, iar acele pachete nu sunt verificări de sănătate. Când mai mulți clienți din spatele unui gateway eșuează simultan, examinați traducerea acelui gateway și orice funcție veche de trecere directă. Împachetarea nu explică o aplicație care eșuează la fiecare client după ridicarea tunelului, nici o avertizare de certificat pe o pagină de blocare; ambele se află deasupra acestui strat.

Citiți tabelul de mapare pentru doi clienți simultan: dacă amândoi arată același port tradus, dispozitivul nu îi separă așa cum cere gateway-ul. Un mod de trecere directă care oferă ESP nativ unei singure gazde nu echivalează cu deservirea mai multor clienți traduși, deși furnizorii le descriu pe amândouă ca fiind prietenoase cu IPsec. NAT dublu adaugă un strat de mapare și încă un punct de expirare, dar nu întrerupe automat conexiunile de ieșire.

Traficul de întreținere merită o linie proprie în manualul de operare, pentru că el ține deschisă calea de răspuns în perioadele de inactivitate. Activați-l acolo unde furnizorul îl documentează și verificați-l primul când o sesiune moare după câteva minute de liniște, nu la prima utilizare.

Schimbați proprietarul mapării, apoi retestați

Urmați setările de traversal NAT acceptate pe ambele părți, în loc să ghiciți un port. Editarea portului sursă local pe un client nu poate schimba serviciul care ascultă la celălalt capăt și de obicei strică maparea deja construită. Dacă clientul se află în spatele unui dispozitiv pe care nu îl controlați, modificarea aparține proprietarului acestuia.

După orice modificare, repetați ambele verificări de etapă și confirmați că un pachet de date trece, nu doar că ecranul de stare a devenit verde. Țineți tuplurile, ieșirea tabelului de mapare și modificarea regulii într-o singură notă, ca următoarea persoană să nu o ia de la capăt cu schimbul de control. Notele strongSwan despre traversal NAT acoperă setările de încapsulare și de întreținere din spatele celor două etape.