Kako NAT traversal zavije ESP v UDP

Dva odjemalca za istim usmerjevalnikom se pogovarjata z enim prehodom IPsec, in eden nenehno pada, medtem ko drugi ostane povezan. Izvorni ESP je protokol IP 50 brez vrat, zato prevajalnik nima česa pripeti preslikave, ko si več odjemalcev deli en naslov. NAT traversal zapre to vrzel tako, da ESP zavije v UDP na 4500, in ta glava pojasni večino naslednjih simptomov. Pokaže tudi na napravo, ki jo je treba spremeniti.

Zakaj se podatkovna ravnina premakne na vrata 4500

Med nastavitvijo IKEv2 primerja naslove in vrata, za katera vsaka stran meni, da jih uporablja, z izmenjavo zgoščenih vrednosti v svojih obvestilih o zaznavanju NAT. Ko se zgoščene vrednosti ne ujemajo, nekje na poti sedi prevajalnik, in obe strani preklopita zaščiten promet v kapsuliranje UDP. Zato je seja, ki je naletela na prevajalnik, videti drugačna od tiste, ki ni.

Ovoj je kuverta, ne sprememba protokola: ESP ohrani svojo glavo, preverjanje celovitosti in šifriranje, UDP pa zagotovi le vrata, ki jih prevajalnik potrebuje. Vrata 500 prenašajo izmenjavo IKE; 4500 prenaša kapsulirane podatke po zaznavi in pogosto tudi poznejša sporočila IKE. Nobena vrata ne naredijo toka TCP-povezavo, predpostavka, ki zavaja večino ljudi, ki berejo zajem.

Preverite obe fazi po vrstnem redu

Najprej dokažite krmilno izmenjavo, nato podatkovno pot, in obe držite v svojih zapiskih ločeno. Zajem, ki prikazuje promet na 500 in nikoli na 4500, običajno pomeni, da je podatkovna pot filtrirana, zato popravek spada v pravilo požarnega zidu, ne v odjemalca.

Opazujte oba vrata z tcpdump -ni any 'udp port 500 or udp port 4500' in berite prevajalsko tabelo na usmerjevalniku, dokler je seja živa. Tabela prikazuje izvorna vrata, ki jih bo prehod dejansko videl, zajem na prenosniku pa se namerno razhaja: prenosnik verjame 500, medtem ko prehod vidi 4500 s prevedenimi izvornimi vrati, in oba imata prav. Isti tok pred prevajanjem in po njem:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptomi, ki jih ovoj pojasni, in dva, ki jih ne

Usmerjevalnik, ki dovoli krmilno izmenjavo in blokira kapsulirane podatke ustvari poročilo, da je tunel vzpostavljen, a nič ne gre skozi. Preslikovalne tabele potečejo, zato nedejavna seja potrebuje promet za ohranjanje, ki ga strani pošiljata namerno, in ti paketi niso zdravstveni pregledi. Ko več odjemalcev za enim prehodom odpove hkrati, preglejte prevajanje tega prehoda in kakršno koli staro funkcijo prepuščanja. Ovoj ne pojasni aplikacije, ki odpove pri vsakem odjemalcu po vzpostavitvi tunela, niti opozorila o potrdilu na strani za blokiranje; oboje je nad to plastjo.

Berite preslikovalno tabelo za dva odjemalca hkrati: če oba kažeta ista prevedena vrata, naprava ju ne ločuje tako, kot zahteva prehod. Način prepuščanja, ki izvorni ESP preda le enemu gostitelju, ni enakovreden strežbi več prevedenih odjemalcev, čeprav prodajalci oba opisujejo kot prijazna do IPsec. Dvojni NAT doda plast preslikave in še eno točko poteka, vendar ne prekine odhodnih povezav samodejno.

Promet za ohranjanje si zasluži svojo vrstico v obratovalnem priročniku, ker prav on drži pot za odgovor odprto v obdobjih nedejavnosti. Omogočite ga tam, kjer ga prodajalec dokumentira, in ga preverite najprej, ko seja umre po nekaj minutah tišine in ne ob prvi uporabi.

Spremenite lastnika preslikave in nato znova preizkusite

Sledite podprtim nastavitvam NAT traversal na obeh straneh, namesto da ugibate vrata. Urejanje lokalnih izvornih vrat pri enem odjemalcu ne more spremeniti storitve, ki posluša na drugem koncu, in običajno pokvari že zgrajeno preslikavo. Če odjemalec sedi za napravo, ki je ne nadzorujete, sprememba pripada njenemu lastniku.

Po vsaki spremembi ponovite oba pregleda faz in potrdite, da podatkovni paket preide, ne le da je zaslon stanja postal zelen. Shranite terke, izpis preslikovalne tabele in spremembo pravila v eni opombi, da naslednja oseba ne začne znova pri krmilni izmenjavi. Opombe strongSwan o NAT traversal zajemajo nastavitve kapsuliranja in ohranjanja za obema fazama.