strongSwan ESP-in-UDP: marka aanay jirin NAT la ogaado

Ogaanshaha NAT wuxuu helaa tarjumaadda cinwaannada, ma aha siyaasadda firewall-ka. Xiriirka goobta oo aan NAT lahayn ayaa weli u baahan kara doorasho cad oo ESP-in-UDP.

Ogaanshaha NAT wuxuu ka jawaabaa hal su'aal: cinwaannada ama dekedaha ma is beddeleen jidka? Kama jawaabo in firewall-ku u oggolaado borotokoolka IP 50. Albaabada goobta oo aan lahayn wax tarjumaad ah ayaa weli ka dambeeya siyaasad tuurta native ESP, waana in shuruudahaas la habeeyaa halkii la ogaan lahaa. Habka waa ESP-in-UDP, waana go'aan, ma aha beddel iskiis u soo baxa.

Ogaanshuhu waa xisaab cinwaannada, ma aha baaritaan firewall

IKEv2 wuxuu qaadaa culaysyada ogaanshaha NAT oo ay ku jiraan hash-yada cinwaannada iyo dekedaha isha iyo meesha loo socdo. Qolo kastaa waxay barbardhigtaa wixii ay heshay iyo wixii ay gudaha u aragto, isma-aftiyaashuna waxay u sheegtaa in wax shay baakadda turjumeen. Ma jiro wax ku jira isweydaarsigaas oo tijaabiya in router-ka dhexe gudbiyo borotokoolka 50.

Natiijada la taaban karo waa in si cad loo yiraahdo. Tunnel-ka ku shaqeeyay native ESP iskiis ma ogaan doono firewall cusub oo xaddidan, isku daygiisa xigana wuxuu ku guuldareystaa heerka xogta inta IKE sii guuleysanayo. Waxaad arki doontaa xiriirro ammaan IKE oo la aasaasay iyo ma jiro taraafik la ilaaliyay, taas oo u eg cilad dariiqa ilaa aad ka qabato siligga.

Sidaas darteed, duubistu waa sifo xiriirka aad habeyneyso, ma aha natiijo ay dhinacyadu ka wada xaajoodaan habdhaqanka shabakadda.

Sida encap u beddelo isweydaarsiga

Dejinta casriga ah ee strongSwan oo lagu maamulo swanctl.conf, dejinta encap = yes ee xiriirka waxay saameyn ku leedahay isweydaarsiga ogaanshaha NAT si labada dhinacba u isticmaalaan duubista UDP ee ESP. Baakadaha la ilaaliyay waxay markaas gudaha UDP, sida caadiga ah dekedda 4500, ku socdaan, labada darafna waa inay ku heshiiyaan habsocodkaas.

connections {
    site {
        encap = yes
        # existing approved peer, authentication and child settings
    }
}

Qaybtaas waxay ku deelan tahay qeexitaanka xiriir dhab ah mana aha borofayl goob oo buuxa. Hayso cinwaannada dhigga, xaqiijinta iyo doorashooyinka taraafikka child ee aad horey u shaqeysay; furaha kaliya ee lagu daray wuxuu beddelaa sida xogta la ilaaliyay loo duubto, ma aha waxa ay ilaaliso.

Hagaha strongSwan ee NAT-traversal wuxuu sharraxayaa habdhaqankaas, oo ay ku jirto isdhexgalka dekedda sabaynaysa marka MOBIKE la isticmaalo.

Isticmaal dejinta ku deelan backend-kaaga

strongSwan wuxuu leeyahay laba backend oo habayn ah, furahana way ku kala duwan yihiin. swanctl.conf xiriir wuxuu qaataa encap, halka ipsec.conf xiriir hore uu qaato forceencaps. Dhex gelinta kelmadda furaha backend-ka mid ah kan kale waxay soo saartaa habayn la rarto iyada oo aan cabasho lahayn oo aan waxba beddelin, taas oo ka xun khalad.

Ka hubi daemon-ka dhab ahaan socda ka hor inta aadan wax wax ka beddelin. Qaybiyo badan labada faylba way jiraan sababtoo ah mid waa hadhaaga guuritaan hore, kan firfircoonna waa kan unugga adeeggu bilaabo. Akhri unuggaas halkii aad ka malayn lahayd shaabaddaha waqtiga faylasha. Viis-ka shan ilbiriqsi halkan wuxuu ka hortagaa saacado lagu tijaabinayo dejinta aan waxba rarin.

Codso isbeddelka iyada oo loo marayo milkiilaha xiriirka oo dib u dhig isku xirka daaqad la xakameeyay. Child horey loo rakibay wuxuu hayaa duubistiisa hadda ilaa la beddelo, sidaas darteed wax ka beddelka faylka oo keliya ma caddeeyo in habayska cusub la isticmaalayo.

Xaqiiji xogta la duubay, ma aha oo kaliya dekedda

Ka qabo albaabka inta taraafik la ilaaliyay qulqulayo, ka dibna la barbardhig aragtida strongSwan ee u gaar ah:

$ sudo tcpdump -ni eth0 'udp port 4500' -c 20
$ sudo swanctl --list-sas --ike site
$ sudo ip xfrm state list

Native ESP wuxuu u muuqdaa borotokoolka IP 50 oo haba yaraatee uma eka UDP. ESP duuban wuxuu u muuqdaa datagram-yo UDP oo 4500 ah oo culayskoodu aan IKE ahayn. Taraafikka IKE ee isla dekeddaas ma aha caddayn duubis, sababtoo ah MOBIKE wuu u rari karaa IKE halkaas inta jidka xogtu uu native ku sii jiro, sidaas darteed akhri culayska, ma aha lambarka dekedda.

Sidoo kale maskaxda ku hay MTU-da jidka. Duubistu waxay ku dartaa kharash dheeraad ah, jidkii qaaday native ESP waxaa laga yaabaa inuu u baahdo hagaajin marka baakaduhu weynaadaan. Maareynta ICMP ee loo baahan yahay waa inay horey u ahayd qayb ka mid ah naqshadda; duubistu ma tirtirto ku-tiirsanaantaas.

Aqbal isbeddelka marka taraafikka cusub ee barnaamijyada gudaha tunnel-ka uu ka muuqdo qabashada sida ESP duuban labada daraf, iyo marka adeegga gudaha iyo jidkiisa soo-noqodku ay weli shaqeeyaan. Wax kasta oo ka yar waa habayn faylka ku muuqata mid sax ah.

Maqaallo la xiriira