L2TP/IPsec iyada oo loo marayo NAT: waxa run ahaantii jabaa iyo sababta

Sheegashada ah in NAT uu jebiyo L2TP/IPsec waa badh run sidaas darteedna waxba ma tarayso. Turjumaadda cinwaannada waa caadi, NAT traversal waxay u jirtaa si gaar ah in ay ka badbaado, iyo malaayiin macmiil ah ayaa maalin kasta ka xirmaa gadaasha router. Waxa jabaa waa marxalad gaar ah oo is-dhaafsiga gaar ah: IKE waligiis jawaab ma helo, tunnel-ka la duubay waxaa tuurayaa siyaasad oo kaliya u oggolaanaysa hal borotokool, ama khariidaynta turjumaadda way dhacdaa inta tunnel-ku shaqaynayn. Marka aad ogaato marxaladda aad ku jirto, hagaajinta badanaa waa hal sharci ama keepalive, ma aha naqshad VPN cusub.

Halyeeyga waa su'aasha khaldan

Su'aasha faa'iidada leh ma aha «NAT ma jebiyaa tan» laakiin «qaybtee is-dhaafsiga ayaa la turjumaa, oo maxay qabataa qalabka turjumaya». L2TP/IPsec waa borotokool lakab leh: IKE wada-hadal sameeyaa, ESP ilaalisaa, iyo L2TP waxay PPP ku qaaddaa gudaha ilaalintaas. Turjumaadda cinwaannada si kala duwan ayay ula falgashaa lakab kasta, iyo calaamadaha guul-darradu waa la kala gartaa haddii aad eegto marxaladda wada-hadalka halkii aad ka eegi lahayd daaqadda khaladka.

Router si guul leh u baaraya shabakadda wuxuu kaliya caddeeyaa in TCP oo leh turjumaadda dekedda isha uu shaqeeyo. Wax kama sheegto UDP 500, UDP 4500 ama borotokool 50, iyo saddexdan ayaa ku tiirsan rakibiddan.

Marxalad 1: IKE waa inuu jawaab helaa si kastaba

Is-dhaafsiga ugu horreeya wuxuu u tagaa jawaab-bixiyaha UDP 500. Haddii jawaab aan soo noqon, wax kale oo dhan macno ma leh: furaha horay loo wadaagay, soo-jeedinta iyo aqoonsiga dhammaantood weli lama akhrin. Ha ka qiyaasin waqtiga macmiilka, laakiin fiiri codsiga iyo jawaabta:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Codsi jawaab la'aan badanaa wuxuu ka dhigan yahay in firewall ama shirkadda isgaarsiinta ee ka sarreysa ay tuurayso baakadda, ma aha in server-ku diiday. Jawaab leh xamuul ogeysiis oo sheegaya soo-jeedin ama dhibaato shahaado waxay ka dhigan tahay in baakaduhu soo gaareen iyo in wada-hadalku ku guul darreystay nuxurka, taas oo ah hagaajin gabi ahaan ka duwan.

Marka labada dhinac ay gadaasha turjumaadda joogaan, bilaabaha wuxuu kaliya u baahan yahay inuu gaaro jawaab-bixiyaha, sidaas darteed inta badan rakibidda dhinaca macmiilka waxay ka shaqeeyaan marxalad 1. Marti-gelinta dhinaca server-ka waa halka dhibaatada soo-galku ka bilaabato, taasina waa sababta labada xaaladood aan loo wada hadlin mid ahaan.

Marxalad 2: duubista waxay beddeshaa waxa firewall-ku arko

ESP waa borotokool IP, ma aha deked TCP ama UDP, iyo turjumaadda caadiga ah ee cinwaannada dekedaha ma laha goob deked si dib loo qoro. Sidaas darteed NAT traversal waxay xamuulka la ilaaliyay gelineysaa UDP 4500: duubistu waxay siisaa qalabka turjumaya wax uu yaqaan sida loo turjumo. Marka taas dhacdo, sharci firewall oo kaliya loo qoray UDP 500 wuxuu oggolaan doonaa wada-hadalka oo tuuri doonaa tunnel-ka, taas oo soo saarta natiijada wareersan ee log-ku muujinayo marxalad 1 guul leh iyo wax gaadiid ah oo aan jirin.

Is-dhaafsiga IKE laftiisa ayaa sidoo kale u guuri kara UDP 4500 ka dib marka NAT la ogaado, taas oo la yaab ku tahay kuwa oggolaaday 500 oo wax kale ma aha. Oggolow labada deked labada jihoobaa, oo xusuuso in firewall-ka xaaladda leh uu socodka hayo kaliya inta uu gaadiid arko.

Borotokoolka 50 weli waa muhiim waddooyinka aan turjumaad lahayn iyo waddooyinka halkaas oo sanduuqa dhexe loo habeeyay inuu oggolaado. Haddii aad ku baaraysid tirtirid, dami mala-awaalka halkii aad sharciyo ku dari lahayd, oo oggolow 500, 4500 iyo ESP, xaqiiji in tunnel-ku kor u kaco, ka dibna ka saar wixii aan loo baahnayn. Sharci aan cidina sharaxi karin waa sharci aan cidina ka saarayn marka uu sabab u noqdo carqaladda xigta. Qor cidhiidhiga diiwaanka isbeddelka oo la socda marxaladda uu hagaajiyay, si injineerka xiga uu ka bilaabo caddayntaada halkii uu ka bilaabi lahaa isla sharciga suulka.

Marxalad 3: khariidayntu way dhacdaa oo tunnel-ku wuu dhintaa

Qalabka turjumaya wuxuu hayaa xaalad socodka uu gudbiyo, xaaladdaasna waxay leedahay cimri. Tunnel L2TP/IPsec waxay qaaddaa gaadiid yar marka cidina isticmaalin, sidaas darteed tunnel-ka aan shaqayn karaa inuu ka baxo khariidayntiisa oo joojiyo helista gaadiidka soo noqda. Macmiilku wuxuu aaminsan yahay inuu xiran yahay, server-ku wax ma arko, calaamadda ugu horreysana badanaa waa waqti-dhaafid la xiriira barnaamij ma aha khalad VPN.

Ogaanshaha lammaanaha dhintay iyo NAT keepalive ayaa u jira tan, labada dhinacna waa inay diyaar u yihiin inay diraan. Haddii server-kaagu gadaasha turjumaadda yahay, shuruudaha dhinaca Windows waa dejinta diiwaan la diiwaangeliyay oo ka dhigta server-ka inuu u qaato duubista UDP baakadihiisa baxa; la'aanteed jawaab-bixiyuhu wuxuu diraa ESP oo qalabka turjumaya aan dib u khariidadi karin. Tani waa arrin ku saabsan habaynta server-ka, ma aha macmiilka.

Isbeddelka cinwaanka WAN wuxuu isla natiijada ka keenaa jiho kale: khariidaynta waxaa dib loogu dhisaa cinwaan cusub, iyo ururka amni ee hore wuxuu hadda tilmaamayaa lammaane aan hadda jirin. Dhaqanka dib-u-xirka waxaa leh hirgelinta macmiilka, taasina waa sababta «dib u xir ka dib marka router-ka dib loo bilaabo» ugu shaqeeyo hal macmiil oo kan kalena u baahan beddel gacan ah.

Marti-gelinta gadaasha NAT heerka shirkadda waa dhibaato kale

Haddii aad rabto inaad guriga ku marti-geliso server L2TP/IPsec oo aad dibadda ka gaarto, shuruuddu waa gaaritaan soo-gal ah oo aan la weydiisan, taasna NAT traversal ma bixiso. NAT heerka shirkadda oo router-kaaga hor yaal waxay ka dhigan tahay in aanay jirin deked aad gudbin karto oo kaa dhigta mid la gaari karo, sababtoo ah cinwaanka guud waa la wadaagaa khariidayntuna waa bax kaliya.

Ma jiro sanduuq IPsec pass-through oo taas beddela, mana jiro habayn macmiil oo magdhowda. Jawaabaha la taageeray waa cinwaan dhab ahaan la gaari karo, barta ugu dambaysa ee la marti-geliyay, ama dhisme ay ka-qaybgalayaashu dhammaantood sameeyaan xiriir bax ah. Qeexidda duubista UDP waxay xallinaysaa dhibaatada turjumaadda socodka jira; ma abuurto waddo soo-gal ah meesha shirkaddu aanay bixin.

Sidaas darteed isbarbardhig shabakadaha halkii aad qiyaasi lahayd. Qaado isla qalabka iyo profile-ka oo geey shabakad kale oo la oggolaaday oo arag marxaladdee halkaas ku guul darreysata. Haddii meel kale ka shaqeeyo, farqigu waa waddada, taasna waxay baaritaanka ku koobtaa saddexda marxaladood ee kore halkii ay ka koobi lahayd habaynta oo dhan.