NAT டிராவர்சல் ESP-ஐ UDP-க்குள் எவ்வாறு மடக்குகிறது

ஒரே ரவுட்டருக்குப் பின்னால் உள்ள இரண்டு வாடிக்கையாளர்கள் ஒரு IPsec நுழைவாயிலுடன் பேசுகிறார்கள், ஒருவர் தொடர்ந்து விழுகிறார் மற்றவர் இணைந்தே இருக்கிறார். அசல் ESP போர்ட்கள் இல்லாத 50-வது IP நெறிமுறை, எனவே பல வாடிக்கையாளர்கள் ஒரே முகவரியைப் பகிரும்போது மொழிபெயர்ப்பாளருக்கு மேப்பிங்கைப் பிடிக்க எதுவும் இல்லை. NAT டிராவர்சல் 4500-இல் ESP-ஐ UDP-க்குள் மடக்கி அந்த இடைவெளியை நிரப்புகிறது, அந்த தலைப்பு அடுத்தடுத்த பல அறிகுறிகளை விளக்குகிறது. மாற்ற வேண்டிய சாதனத்தையும் அது சுட்டுகிறது.

தரவுத் தளம் 4500 போர்ட்டுக்கு ஏன் நகர்கிறது

அமைப்பின்போது IKEv2 ஒவ்வொரு பக்கமும் பயன்படுத்துவதாக நம்பும் முகவரிகள் மற்றும் போர்ட்களை, தனது NAT கண்டறிதல் அறிவிப்புகளில் ஹாஷ்களைப் பரிமாறி ஒப்பிடுகிறது. ஹாஷ்கள் பொருந்தவில்லை என்றால் பாதையில் எங்கோ ஒரு மொழிபெயர்ப்பாளர் அமர்ந்திருக்கிறார், இரு பக்கங்களும் பாதுகாக்கப்பட்ட போக்குவரத்தை UDP உறையாக்கத்திற்கு மாற்றுகின்றன. அதனால்தான் மொழிபெயர்ப்பாளரைச் சந்தித்த அமர்வு சந்திக்காததிலிருந்து வேறுபட்டதாகத் தெரிகிறது.

மடக்குதல் ஒரு உறை, நெறிமுறை மாற்றம் அல்ல: ESP தனது தலைப்பு, ஒருமைப்பாட்டுச் சோதனை மற்றும் மறையாக்கத்தைத் தக்கவைத்துக்கொள்கிறது, UDP மொழிபெயர்ப்பாளருக்குத் தேவையான போர்ட்களை மட்டுமே வழங்குகிறது. போர்ட் 500 IKE பரிமாற்றத்தைக் கொண்டு செல்கிறது; 4500 கண்டறிதலுக்குப் பின் மடக்கப்பட்ட தரவையும், பெரும்பாலும் பிந்தைய IKE செய்திகளையும் கொண்டு செல்கிறது. எந்தப் போர்ட்டும் ஓட்டத்தை TCP இணைப்பாக மாற்றாது, இந்த அனுமானமே கேப்சரைப் படிக்கும் பெரும்பாலானோரைத் தவறாக வழிநடத்துகிறது.

இரு நிலைகளையும் வரிசையாகச் சரிபார்க்கவும்

முதலில் கட்டுப்பாட்டுப் பரிமாற்றத்தை, பின்னர் தரவுப் பாதையை நிரூபித்து, இரண்டையும் உங்கள் குறிப்புகளில் தனித்தனியாக வைத்திருங்கள். 500-இல் போக்குவரத்தைக் காட்டி 4500-இல் ஒருபோதும் காட்டாத கேப்சர், பொதுவாக தரவுப் பாதை வடிகட்டப்படுவதைக் குறிக்கிறது, எனவே திருத்தம் வாடிக்கையாளரில் அல்ல, ஃபயர்வால் விதியில் இருக்க வேண்டும்.

tcpdump -ni any 'udp port 500 or udp port 4500' மூலம் இரு போர்ட்களையும் கவனிக்கவும், அமர்வு இயங்கும்போது ரவுட்டரின் மொழிபெயர்ப்பு அட்டவணையைப் படிக்கவும். அந்த அட்டவணை நுழைவாயில் உண்மையில் காணப்போகும் மூல போர்ட்டைக் காட்டுகிறது, மடிக்கணினியின் கேப்சர் வடிவமைப்பின்படியே அதிலிருந்து வேறுபடுகிறது: மடிக்கணினி 500 என நம்புகிறது, நுழைவாயில் மொழிபெயர்க்கப்பட்ட மூல போர்ட்டுடன் 4500-ஐக் காண்கிறது, இரண்டும் சரியே. அதே ஓட்டம், மொழிபெயர்ப்புக்கு முன்னும் பின்னும்:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

மடக்குதல் விளக்கும் அறிகுறிகள், மற்றும் விளக்காத இரண்டு

கட்டுப்பாட்டுப் பரிமாற்றத்தை அனுமதித்து மடக்கப்பட்ட தரவைத் தடுக்கும் ரவுட்டர் 'சுரங்கப்பாதை மேலே உள்ளது ஆனால் எதுவும் கடக்கவில்லை' என்ற அறிக்கையை உருவாக்குகிறது. மேப்பிங் அட்டவணைகள் காலாவதியாகின்றன, எனவே செயலற்ற அமர்வுக்கு இரு பக்கங்களும் வேண்டுமென்றே அனுப்பும் உயிர்ப்பு போக்குவரத்து தேவை, அந்தப் பாக்கெட்டுகள் சுகாதாரச் சோதனைகள் அல்ல. ஒரு நுழைவாயிலுக்குப் பின்னால் பல வாடிக்கையாளர்கள் ஒன்றாகத் தோல்வியடைந்தால், அந்த நுழைவாயிலின் மொழிபெயர்ப்பையும் ஏதேனும் பழைய கடத்தல் அம்சத்தையும் ஆராயுங்கள். மடக்குதல் சுரங்கப்பாதை ஏறிய பின் ஒவ்வொரு வாடிக்கையாளரிலும் தோல்வியடையும் பயன்பாட்டையோ, தடுப்புப் பக்கத்தின் சான்றிதழ் எச்சரிக்கையையோ விளக்காது; இரண்டும் இந்த அடுக்குக்கு மேலே உள்ளன.

ஒரே நேரத்தில் இரு வாடிக்கையாளர்களுக்கான மேப்பிங் அட்டவணையைப் படிக்கவும்: இரண்டும் ஒரே மொழிபெயர்க்கப்பட்ட போர்ட்டைக் காட்டினால், சாதனம் நுழைவாயில் கோரும் விதத்தில் அவர்களைப் பிரிக்கவில்லை. அசல் ESP-ஐ ஒரே ஹோஸ்ட்டுக்கு மட்டும் வழங்கும் கடத்தல் பயன்முறை, பல மொழிபெயர்க்கப்பட்ட வாடிக்கையாளர்களுக்குச் சேவை செய்வதற்குச் சமமானது அல்ல, விற்பனையாளர்கள் இரண்டையும் IPsec-நட்பு என விவரித்தாலும். இரட்டை NAT ஒரு மேப்பிங் அடுக்கையும் மற்றொரு காலாவதிப் புள்ளியையும் சேர்க்கிறது, ஆனால் வெளிச்செல்லும் இணைப்புகளைத் தானாகத் துண்டிக்காது.

உயிர்ப்புப் போக்குவரத்து இயக்கக் கையேட்டில் தனி வரிக்குத் தகுதியானது, ஏனெனில் செயலற்ற காலங்களில் பதிலின் பாதையைத் திறந்து வைப்பது அதுவே. விற்பனையாளர் ஆவணப்படுத்தும் இடத்தில் அதை இயக்கவும், அமர்வு முதல் பயன்பாட்டில் அல்ல, சில நிமிட மௌனத்திற்குப் பின் இறந்தால் முதலில் அதைச் சரிபார்க்கவும்.

மேப்பிங்கின் உரிமையாளரை மாற்றி, பின்னர் மீண்டும் சோதிக்கவும்

போர்ட்டை ஊகிப்பதற்குப் பதிலாக இரு பக்கங்களிலும் ஆதரிக்கப்படும் NAT டிராவர்சல் அமைப்புகளைப் பின்பற்றவும். ஒரு வாடிக்கையாளரில் உள்ளூர் மூல போர்ட்டைத் திருத்துவது மறுமுனையில் கேட்கும் சேவையை மாற்ற முடியாது, பொதுவாக ஏற்கனவே கட்டப்பட்ட மேப்பிங்கை உடைக்கும். வாடிக்கையாளர் நீங்கள் கட்டுப்படுத்தாத சாதனத்திற்குப் பின்னால் இருந்தால், மாற்றம் அதன் உரிமையாளருக்கு உரியது.

எந்த மாற்றத்திற்குப் பின்னும் இரு நிலைச் சோதனைகளையும் மீண்டும் செய்து, நிலைத் திரை பச்சையானது மட்டுமல்ல, தரவுப் பாக்கெட் கடக்கிறது என்பதை உறுதிப்படுத்தவும். டியூபிள்கள், மேப்பிங் அட்டவணையின் வெளியீடு மற்றும் விதி மாற்றத்தை ஒரே குறிப்பில் வைத்திருங்கள், அடுத்த நபர் கட்டுப்பாட்டுப் பரிமாற்றத்திலிருந்து மீண்டும் தொடங்காதிருக்க.NAT டிராவர்சல் பற்றிய strongSwan குறிப்புகள் இரு நிலைகளுக்குப் பின்னால் உள்ள உறையாக்கம் மற்றும் உயிர்ப்பு அமைப்புகளை உள்ளடக்குகின்றன.