Jinsi NAT traversal inavyofunika ESP ndani ya UDP

Wateja wawili nyuma ya router moja wanazungumza na lango moja la IPsec, na mmoja anaendelea kukatika wakati mwingine anabaki ameunganishwa. ESP asilia ni itifaki ya IP 50 isiyo na port, kwa hiyo mtafsiri hana kitu cha kushikilia uchoraji wakati wateja kadhaa wanashiriki anwani moja. NAT traversal inaziba pengo hilo kwa kufunika ESP ndani ya UDP kwenye 4500, na kichwa hicho kinaeleza dalili nyingi zinazofuata. Pia inaonyesha kifaa kinachopaswa kubadilishwa.

Kwa nini ndege ya data inahamia kwenye port 4500

Wakati wa usanidi IKEv2 inalinganisha anwani na port ambazo kila upande unadhani unazitumia, kwa kubadilishana hashi katika arifa zake za kugundua NAT. Hashi hazipatani, mtafsiri amekaa mahali pengine njiani, na pande zote mbili zinahamisha trafiki iliyolindwa kwenda kufungashwa kwa UDP. Ndiyo sababu kipindi kilichokutana na mtafsiri kinaonekana tofauti na kile kisichokutana.

Kifuniko ni bahasha, si mabadiliko ya itifaki: ESP inahifadhi kichwa chake, ukaguzi wake wa uadilifu na usimbaji fiche, na UDP inatoa tu port zinazohitajika na mtafsiri. Port 500 hubeba mabadilishano ya IKE; 4500 hubeba data iliyofunikwa baada ya kugundua, na mara nyingi pia ujumbe wa IKE wa baadaye. Hakuna port inayofanya mtiririko kuwa muunganisho wa TCP, dhana ambayo inapotosha watu wengi wanaosoma nakala.

Kagua hatua mbili kwa mpangilio

Kwanza thibitisha mabadilishano ya udhibiti, kisha njia ya data, na uziweke mbili tofauti katika madokezo yako. Nakala inayoonyesha trafiki kwenye 500 na kamwe kwenye 4500 kwa kawaida inamaanisha njia ya data inachujwa, kwa hiyo marekebisho ni ya kanuni ya firewall na si ya mteja.

Fuatilia port zote mbili kwa tcpdump -ni any 'udp port 500 or udp port 4500', na usome jedwali la tafsiri kwenye router wakati kipindi kikiwa hai. Jedwali hilo linaonyesha port ya chanzo ambayo lango litaona kwa kweli, na nakala kwenye laptop inatofautiana kwa muundo: laptop inaamini 500 wakati lango linaona 4500 ikiwa na port ya chanzo iliyotafsiriwa, na zote mbili ni sahihi. Mtiririko huo huo, kabla na baada ya tafsiri:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Dalili ambazo kifuniko kinaeleza, na mbili ambazo hakielezi

Router inayoruhusu mabadilishano ya udhibiti na kuzuia data iliyofunikwa hutoa ripoti kwamba handaki iko juu lakini hakuna kinachopita. Majedwali ya uchoraji yanaisha muda, kwa hiyo kipindi kisichotumika kinahitaji trafiki ya kuweka hai ambayo pande zote hutuma kwa kusudi, na pakiti hizo si ukaguzi wa afya. Wakati wateja kadhaa nyuma ya lango moja wanashindwa pamoja, chunguza tafsiri ya lango hilo na kipengele chochote cha zamani cha kupitisha. Kifuniko hakielezi programu inayoshindwa kwa kila mteja baada ya handaki kuinuka, wala onyo la cheti kwenye ukurasa wa kuzuia; zote mbili ziko juu ya tabaka hili.

Soma jedwali la uchoraji kwa wateja wawili kwa wakati mmoja: ikiwa wote wanaonyesha port moja iliyotafsiriwa, kifaa hakijatenganisha kama lango linavyohitaji. Hali ya kupitisha inayompa ESP asilia mwenyeji mmoja tu hailingani na kuhudumia wateja kadhaa waliotafsiriwa, ingawa wauzaji wanafafanua zote mbili kama rafiki kwa IPsec. NAT mbili huongeza tabaka la uchoraji na sehemu nyingine ya kuisha muda, lakini haivunji miunganisho ya nje kiotomatiki.

Trafiki ya kuweka hai inastahili mstari wake katika mwongozo wa uendeshaji, kwa sababu ndiyo inayoweka wazi njia ya jibu katika vipindi vya kutotumika. Iwashe pale ambapo muuzaji anaidokumentesha, na iangalie kwanza wakati kipindi kinakufa baada ya dakika kadhaa za ukimya na si katika matumizi ya kwanza.

Badilisha mmiliki wa uchoraji, kisha jaribu tena

Fuata mipangilio ya NAT traversal inayotumika pande zote mbili badala ya kukisia port. Kubadilisha port ya chanzo ya ndani kwa mteja mmoja hakuwezi kubadilisha huduma inayosikiliza upande wa pili, na kwa kawaida huvunja uchoraji uliojengwa tayari. Ikiwa mteja yuko nyuma ya kifaa usichokidhibiti, mabadiliko ni ya mmiliki wake.

Baada ya mabadiliko yoyote, rudia ukaguzi wa hatua zote mbili na thibitisha kwamba pakiti ya data inapita, si tu kwamba skrini ya hali iligeuka kijani. Hifadhi tuples, matokeo ya jedwali la uchoraji na mabadiliko ya kanuni katika dokezo moja, ili mtu anayefuata asianze tena kutoka kwa mabadilishano ya udhibiti. Madokezo ya strongSwan kuhusu NAT traversal yanashughulikia mipangilio ya ufungashaji na kuweka hai nyuma ya hatua zote mbili.