Sida NAT traversal uu ESP ugu duubo UDP gudaha

Laba macmiil oo isku router gadaashiis ah waxay la hadlaan hal IPsec gateway, midna si joogto ah ayuu u dhacaa halka kan kalena uu xiran yahay. ESP asalka ah waa borotokoolka IP 50 oo aan portyo lahayn, sidaas darteed turjubaanku waxba ma hayo uu ku xiro khariidad marka macmiillo badan ay wadaagaan hal cinwaan. NAT traversal wuxuu buuxiyaa farqigaas isagoo ESP ku duubaya UDP 4500 gudaha, oo cinwaankaas ayaa sharraxaya inta badan calaamadaha soo socda. Waxay kaloo tilmaamaysaa qalabka la beddelayo.

Sababta diyaaradda xogtu u guurto port 4500

Inta lagu jiro habaynta IKEv2 wuxuu barbardhigaa cinwaannada iyo portyada ay dhinac kastaa u malaynayo inuu isticmaalayo, isagoo ku beddelanaya hash-yo ku jira ogeysiisyadiisa ogaanshaha NAT. Marka hash-yadu aysan is waafajin, turjubaan ayaa meel ku yaal wadada, labada dhinacna waxay u wareejiyaan gaadiidka la ilaaliyay duubista UDP. Taas ayaa sabab u ah in kalfadhiga la kulmay turjubaan uu ka duwan yahay kan aan la kulmin.

Duubistu waa gal aan ah, ma aha isbeddel borotokool: ESP wuxuu hayaa cinwaankiisa, hubintiisa daacadnimada iyo sirteeda, UDP-na waxay bixisaa oo kaliya portyada uu turjubaanku u baahan yahay. Port 500 waxay qaaddaa isweydaarsiga IKE; 4500 waxay qaaddaa xogta duuban ka dib ogaanshaha, iyo inta badan farriimaha IKE dambe. Midkoodna port ma ka dhigayo qulqulka xiriir TCP, mala-awaalkaas ayaa qaldama dadka badankood ee akhrinaya duubitaan.

Hubi labada marxalad si kala horaysa

Marka hore caddee isweydaarsiga xakamaynta, ka dib wadada xogta, oo labadaba si gooni ah ugu hay qoraalladaada. Duubitaan muujinaya gaadiidka 500 oo aan waligiis muujin 4500 waxay inta badan la macno tahay in wadada xogta la shaandheeyay, sidaas darteed sixitaanku wuxuu ku habboon yahay qaanuunka dab-qabadka ee ma aha macmiilka.

La soco labada port tcpdump -ni any 'udp port 500 or udp port 4500', oo akhri shaxda turjumaada ee router-ka inta kalfadhigu nool yahay. Shaxdaas waxay muujinaysaa port-ka isha ee gateway-ga uu dhab ahaan arki doono, duubitaanka laptop-ka ayaa si naqshadeed uga soo horjeeda: laptop-ku wuxuu aaminsan yahay 500 halka gateway-ga uu arko 4500 oo leh port isha la turjumay, labaduba waa sax. Isla qulqulkaas, ka hor iyo ka dib turjumaada:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Calaamadaha duubistu sharraxdo, iyo laba aanay sharraxin

Router ogolaanaya isweydaarsiga xakamaynta oo xannibaya xogta duuban wuxuu soo saaraa warbixinta ah in tunnel-ku sarreeyo laakiin aan waxba dhex marin. Shaxaha khariidadda way dhacaan, sidaas darteed kalfadhiga aan firfircoonayn wuxuu u baahan yahay gaadiid noolaan ah oo dhinacyadu si ula kac ah u diraan, oo paketkaas ma aha hubin caafimaad. Marka macmiillo badan oo hal gateway gadaashiis ah ay wada guuldarraystaan, baar turjumaada gateway-gaas iyo wax kasta oo gudbin hore ah. Duubistu ma sharraxdo barnaamij ku guuldarraysta macmiil kasta ka dib marka tunnel-ku kaco, ama digniin shahaado bogga xannibaadda; labaduba waxay ka sarreeyaan lakabkan.

Akhri shaxda khariidadda laba macmiil isku mar: haddii labaduba muujiyaan isla port la turjumay, qalabku si kala ma u kala saaro sida gateway-gu u baahan yahay. Habka gudbinta ee ESP asalka ah siiya hal host oo keliya ma la mid ah adeegga macmiillo badan oo la turjumay, in kastoo iibiyayaashu labadaba ku tilmaamaan mid saaxiib la ah IPsec. NAT labanlaab ah wuxuu ku darayaa lakab khariidad iyo hal dhibic kale oo dhac ah, laakiin si otomaatig ah uma jebiyo xiriirada baxa.

Gaadiidka noolaanshaha wuxuu mudan yahay sadar u gaar ah buugga hawlgalka, sababtoo ah isaga ayaa jidka jawaabtu u furan yahay xilliyada aan firfircoonayn. Ka shid meesha iibiyuhu u diiwaangeliyo, oo marka ugu horreysa hubi marka kalfadhigu ka dib dhawr daqiiqo oo aamusnaan ah dhinto ee ma aha isticmaalka koowaad.

Beddel milkiilaha khariidadda, ka dibna mar kale tijaabi

Raac dejinta NAT traversal ee la taageeray labada dhinac halkii aad ka malayn lahayd port. Wax ka beddelka port-ka isha maxalliga ah ee hal macmiil ma beddeli karo adeegga dhegeysanaya dhinaca kale, oo inta badan jebiyaa khariidadda hore loo dhisay. Haddii macmiilku uu ka dambeeyo qalab aadan maamulin, isbeddelku waxaa iska leh milkiilahaas.

Ka dib isbeddel kasta, ku celi labada hubin marxaladeed oo xaqiijiso in paket xog ah uu dhex marayo, ma aha oo kaliya in shaashadda xaaladdu cagaar noqotay. Hay tuplada, soo-saarka shaxda khariidadda iyo isbeddelka qaanuunka hal qoraal, si qofka xiga uusan dib uga bilaabin isweydaarsiga xakamaynta. Qoraallada strongSwan ee ku saabsan NAT traversal waxay daboolaan dejinta duubista iyo noolaanshaha ee ka dambeeya labada marxalad.