NAT ට්‍රාවර්සල් ESP එක UDP තුළට ඔතන ආකාරය

එකම රවුටරය පිටුපස සිටින පාරිභෝගිකයන් දෙදෙනෙක් එක් IPsec ද්වාරයක් සමඟ කතා කරන අතර, එක් අයෙක් නිතරම වැටෙන අතර අනෙකා සම්බන්ධව පවතී. මූලික ESP යනු පෝට් නොමැති 50 වන IP ප්‍රොටෝකෝලයයි, එබැවින් පාරිභෝගිකයන් කිහිප දෙනෙක් එකම ලිපිනයක් බෙදා ගන්නා විට පරිවර්තකයාට සිතියම්කරණයක් සඳහා රැඳීමට කිසිවක් නැත. NAT ට්‍රාවර්සල් 4500 හි ESP එක UDP තුළට ඔතා එම පරතරය පුරවයි, සහ එම ශීර්ෂය පසුව එන බොහෝ රෝග ලක්ෂණ පැහැදිලි කරයි. එය වෙනස් කළ යුතු උපාංගය ද පෙන්වා දෙයි.

දත්ත තලය 4500 පෝට් එකට මාරු වන්නේ ඇයි

සැකසුම අතරතුර IKEv2 එක් එක් පැත්ත භාවිතා කරන බව විශ්වාස කරන ලිපින සහ පෝට් සිය NAT අනාවරණ දැනුම්දීම් තුළ හැෂ් හුවමාරු කර සංසන්දනය කරයි. හැෂ් නොගැලපෙන විට මාර්ගයේ කොහේ හෝ පරිවර්තකයෙක් වාඩි වී සිටී, සහ දෙපැත්තම ආරක්ෂිත ගමනාගමනය UDP ආවරණයට මාරු කරයි. එබැවින් පරිවර්තකයෙකු හමු වූ සැසියක් නොවූ එකකට වඩා වෙනස් ලෙස පෙනේ.

ඇතිරීම ලියුම් කවරයකි, ප්‍රොටෝකෝල වෙනසක් නොවේ: ESP එහි ශීර්ෂය, අඛණ්ඩතා පරීක්ෂාව සහ සංකේතනය රඳවා ගනී, සහ UDP පරිවර්තකයාට අවශ්‍ය පෝට් පමණක් සපයයි. 500 පෝට් එක IKE හුවමාරුව ගෙන යයි; 4500 අනාවරණයෙන් පසු ඇතිරූ දත්ත, සහ බොහෝ විට පසුව එන IKE පණිවිඩ ද ගෙන යයි. කිසිම පෝට් එකක් ගලායෑම TCP සම්බන්ධතාවයක් නොකරයි, මෙම උපකල්පනය කැප්චරයක් කියවන බොහෝ දෙනා නොමඟ යවයි.

පියවර දෙක පිළිවෙලින් පරීක්ෂා කරන්න

මුලින්ම පාලන හුවමාරුව, පසුව දත්ත මාර්ගය සනාථ කර, දෙකම ඔබේ සටහන්වල වෙන් කර තබන්න. 500 හි ගමනාගමනය පෙන්වා 4500 හි කිසි විටෙක නොපෙන්වන කැප්චරයක් සාමාන්‍යයෙන් අදහස් කරන්නේ දත්ත මාර්ගය පෙරහන් වන බවයි, එබැවින් නිවැරදි කිරීම සේවාදායකයේ නොව, ෆයර්වෝල් රීතියේ කළ යුතුය.

tcpdump -ni any 'udp port 500 or udp port 4500' සමඟ පෝට් දෙකම නරඹන්න, සහ සැසිය ක්‍රියාශීලීව තිබියදී රවුටරයේ පරිවර්තන වගුව කියවන්න. එම වගුව ද්වාරය සැබවින්ම දකින මූලාශ්‍ර පෝට් එක පෙන්වයි, සහ ලැප්ටොප් එකේ කැප්චරය නිර්මාණයෙන්ම එයට නොගැලපේ: ලැප්ටොප් එක 500 යැයි විශ්වාස කරන අතර ද්වාරය පරිවර්තිත මූලාශ්‍ර පෝට් සමඟ 4500 දකී, දෙකම නිවැරදිය. එම ගලායෑම, පරිවර්තනයට පෙර සහ පසු:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

ඇතිරීම පැහැදිලි කරන රෝග ලක්ෂණ, සහ නොකරන දෙකක්

පාලන හුවමාරුවට ඉඩ දී ඇතිරූ දත්ත අවහිර කරන රවුටරයක් 'ටනලය ඉහළට ඇති නමුත් කිසිවක් ගමන් නොකරයි' යන වාර්තාව සාදයි. සිතියම්කරණ වගු කල් ඉකුත් වේ, එබැවින් අක්‍රීය සැසියකට දෙපැත්තම හිතාමතා යවන ජීවී තබා ගැනීමේ ගමනාගමනය අවශ්‍ය වේ, එම පැකට් සෞඛ්‍ය පරීක්ෂා නොවේ. එක් ද්වාරයක් පිටුපස පාරිභෝගිකයන් කිහිප දෙනෙක් එකට අසාර්ථක වුවහොත්, එම ද්වාරයේ පරිවර්තනය සහ ඕනෑම පැරණි පාස්ත්‍රූ විශේෂාංගයක් පරීක්ෂා කරන්න. ඇතිරීම ටනලය ඉහළ ගිය පසු සෑම පාරිභෝගිකයෙකුටම අසාර්ථක වන යෙදුමක් හෝ අවහිර පිටුවේ සහතික අනතුරු ඇඟවීමක් පැහැදිලි නොකරයි; දෙකම මෙම ස්තරයට ඉහළින් පවතී.

එකවර පාරිභෝගිකයන් දෙදෙනෙකු සඳහා සිතියම්කරණ වගුව කියවන්න: දෙදෙනාම එකම පරිවර්තිත පෝට් එක පෙන්වන්නේ නම්, උපාංගය ද්වාරය ඉල්ලන ආකාරයට ඔවුන් වෙන් නොකරයි. මූලික ESP එක එක් සත්කාරකයකට පමණක් දෙන පාස්ත්‍රූ මාදිලිය පරිවර්තිත පාරිභෝගිකයන් කිහිප දෙනෙකුට සේවය කිරීමට සමාන නොවේ, විකුණුම්කරුවන් දෙකම IPsec-හිතකාමී ලෙස විස්තර කළත්. ද්විත්ව NAT සිතියම්කරණ ස්තරයක් සහ තවත් කල් ඉකුත් වන ලක්ෂ්‍යයක් එකතු කරයි, නමුත් පිටවන සම්බන්ධතා ස්වයංක්‍රීයව නොකඩා දමයි.

ජීවී තබා ගැනීමේ ගමනාගමනයට මෙහෙයුම් අත්පොතේ තමන්ගේම පේළියක් ලැබිය යුතුය, මන්ද අක්‍රීය කාලවලදී පිළිතුරු මාර්ගය විවෘතව තබන්නේ එයයි. විකුණුම්කරු ලේඛනගත කරන තැන එය සක්‍රීය කරන්න, සහ සැසිය පළමු භාවිතයේදී නොව මිනිත්තු කිහිපයක නිශ්ශබ්දතාවයෙන් පසු මිය ගිය විට මුලින්ම එය පරීක්ෂා කරන්න.

සිතියම්කරණයේ හිමිකරු වෙනස් කර, පසුව නැවත පරීක්ෂා කරන්න

පෝට් එක අනුමාන කිරීම වෙනුවට දෙපැත්තේම සහාය දක්වන NAT ට්‍රාවර්සල් සැකසුම් අනුගමනය කරන්න. එක් පාරිභෝගිකයෙකුගේ ප්‍රාදේශීය මූලාශ්‍ර පෝට් එක සංස්කරණය කිරීමෙන් අනෙක් කෙළවරේ සවන් දෙන සේවාව වෙනස් කළ නොහැක, සහ සාමාන්‍යයෙන් දැනටමත් ගොඩනගා ඇති සිතියම්කරණය කඩා දමයි. පාරිභෝගිකයා ඔබ පාලනය නොකරන උපාංගයක පිටුපස සිටී නම්, වෙනස එහි හිමිකරුට අයත් වේ.

කිසියම් වෙනසකින් පසු පියවර පරීක්ෂා දෙකම නැවත කර, තත්ත්ව තිරය හරිත වූවා පමණක් නොව දත්ත පැකට් එකක් ගමන් කරන බව තහවුරු කරන්න. ටියුපල, සිතියම්කරණ වගුවේ ප්‍රතිදානය සහ රීති වෙනස එකම සටහනක තබන්න, එවිට ඊළඟ පුද්ගලයා පාලන හුවමාරුවෙන් නැවත ආරම්භ නොකරයි.NAT ට්‍රාවර්සල් පිළිබඳ strongSwan සටහන් පියවර දෙක පිටුපස ඇති ආවරණ සහ ජීවී තබා ගැනීමේ සැකසුම් ආවරණය කරයි.