Si traversal NAT e mbështjell ESP-në brenda UDP

Dy klientë pas të njëjtit ruter flasin me një gateway IPsec, dhe njëri bie vazhdimisht ndërsa tjetri mbetet i lidhur. ESP nativ është protokolli IP 50 pa porta, pra një përkthyes nuk ka ku të ankorojë një hartëzim kur disa klientë ndajnë një adresë. Traversal NAT e mbyll këtë boshllëk duke e mbështjellë ESP-në në UDP në 4500, dhe ai titull shpjegon shumicën e simptomave që pasojnë. Ai tregon gjithashtu pajisjen që duhet ndryshuar.

Pse rrafshi i të dhënave kalon në portën 4500

Gjatë konfigurimit IKEv2 krahason adresat dhe portat që secila palë mendon se po përdor, duke shkëmbyer hash-e në njoftimet e tij të zbulimit NAT. Kur hash-et nuk përputhen, një përkthyes ndodhet diku në rrugë, dhe të dy palët e kalojnë trafikun e mbrojtur në inkapsulim UDP. Prandaj një sesion që ka hasur një përkthyes duket ndryshe nga një që nuk ka hasur.

Mbështjellja është një zarf, jo një ndryshim protokolli: ESP ruan titullin e vet, kontrollin e integritetit dhe kriptimin, dhe UDP siguron vetëm portat që i nevojiten përkthyesit. Porta 500 mbart shkëmbimin IKE; 4500 mbart të dhënat e inkapsuluara pas zbulimit, dhe shpesh edhe mesazhet e mëvonshme IKE. Asnjëra portë nuk e bën rrjedhën një lidhje TCP, një supozim që mashtron shumicën e njerëzve që lexojnë një kapje.

Kontrolloni dy fazat sipas radhës

Së pari vërtetoni shkëmbimin e kontrollit, më pas rrugën e të dhënave, dhe mbajini të dyja të ndara në shënimet tuaja. Një kapje që tregon trafik në 500 dhe kurrë në 4500 zakonisht do të thotë se rruga e të dhënave është filtruar, prandaj rregullimi i takon rregullit të murit të zjarrit dhe jo klientit.

Vëzhgoni të dyja portat me tcpdump -ni any 'udp port 500 or udp port 4500', dhe lexoni tabelën e përkthimit në ruter ndërsa sesioni është aktiv. Ajo tabelë tregon portën burimore që gateway-i do të shohë vërtet, dhe një kapje në laptop ndryshon nga ajo sipas projektimit: laptop-i beson 500 ndërsa gateway-i sheh 4500 me një portë burimore të përkthyer, dhe të dyja janë të sakta. E njëjta rrjedhë, para dhe pas përkthimit:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Simptomat që shpjegon mbështjellja, dhe dy që nuk i shpjegon

Një ruter që lejon shkëmbimin e kontrollit dhe bllokon të dhënat e inkapsuluara prodhon raportin se tuneli është lart por asgjë nuk kalon. Tabelat e hartëzimit skadojnë, prandaj një sesion i papunë ka nevojë për trafik mbajtjeje që palët e dërgojnë me qëllim, dhe ato paketa nuk janë kontrolle shëndeti. Kur disa klientë pas një gateway dështojnë së bashku, shqyrtoni përkthimin e atij gateway dhe çdo veçori të vjetër kalimi. Mbështjellja nuk shpjegon një aplikacion që dështon tek çdo klient pas ngritjes së tunelit, as një paralajmërim certifikate në një faqe bllokimi; të dyja ndodhen mbi këtë shtresë.

Lexoni tabelën e hartëzimit për dy klientë njëherësh: nëse të dy tregojnë të njëjtën portë të përkthyer, pajisja nuk i ndan ata siç kërkon gateway-i. Një modalitet kalimi që i jep ESP nativ vetëm një hosti nuk është ekuivalent me shërbimin e disa klientëve të përkthyer, edhe pse furnitorët i përshkruajnë të dyja si miqësore me IPsec. NAT i dyfishtë shton një shtresë hartëzimi dhe një pikë tjetër skadimi, por nuk i ndërpret automatikisht lidhjet dalëse.

Trafiku i mbajtjes meriton rreshtin e vet në manualin e operimit, sepse është ai që mban hapur rrugën e përgjigjes gjatë periudhave të papunësisë. Aktivizojeni aty ku furnitori e dokumenton, dhe kontrollojeni i pari kur një sesion vdes pas disa minutash heshtjeje dhe jo në përdorimin e parë.

Ndryshoni pronarin e hartëzimit, pastaj provoni përsëri

Ndiqni cilësimet e mbështetura të traversal NAT në të dy palët në vend që të hamendësoni një portë. Redaktimi i portës burimore lokale në një klient nuk mund të ndryshojë shërbimin që dëgjon në skajin tjetër, dhe zakonisht prish hartëzimin e ndërtuar tashmë. Nëse klienti ndodhet pas një pajisjeje që ju nuk e kontrolloni, ndryshimi i takon pronarit të saj.

Pas çdo ndryshimi, përsëritni të dyja kontrollet e fazave dhe konfirmoni që një paketë e dhënash kalon, jo vetëm që ekrani i statusit u bë i gjelbër. Mbani tuples, daljen e tabelës së hartëzimit dhe ndryshimin e rregullit në një shënim të vetëm, që personi tjetër të mos fillojë përsëri nga shkëmbimi i kontrollit. Shënimet e strongSwan mbi traversal NAT mbulojnë cilësimet e inkapsulimit dhe të mbajtjes pas dy fazave.