NAT ట్రావర్సల్ ESPని UDP లోపల ఎలా చుట్టుతుంది

ఒకే రౌటర్ వెనుక ఉన్న ఇద్దరు క్లయింట్లు ఒక IPsec గేట్వేతో మాట్లాడుతారు, ఒకరు నిరంతరం పడిపోతుంటే మరొకరు అనుసంధానంగా ఉంటారు. అసలు ESP పోర్ట్లు లేని 50వ IP ప్రోటోకాల్, కాబట్టి అనేక క్లయింట్లు ఒకే చిరునామాను పంచుకున్నప్పుడు అనువాదకుడికి మ్యాపింగ్ను పట్టుకోవడానికి ఏమీ ఉండదు. NAT ట్రావర్సల్ 4500 వద్ద ESPని UDP లోపల చుట్టి ఆ ఖాళీని నింపుతుంది, ఆ హెడర్ తర్వాత వచ్చే చాలా లక్షణాలను వివరిస్తుంది. మార్చవలసిన పరికరాన్ని కూడా అది సూచిస్తుంది.

డేటా ప్లేన్ 4500 పోర్ట్కు ఎందుకు మారుతుంది

సెటప్ సమయంలో IKEv2 ప్రతి వైపు ఉపయోగిస్తున్నట్లు భావించే చిరునామాలు మరియు పోర్ట్లను, తన NAT గుర్తింపు నోటిఫికేషన్లలో హాష్లను మార్పిడి చేసి పోలుస్తుంది. హాష్లు సరిపోకపోతే మార్గంలో ఎక్కడో ఒక అనువాదకుడు కూర్చుని ఉంటాడు, రెండు వైపులా రక్షిత ట్రాఫిక్ను UDP ఎన్క్యాప్సులేషన్కు మారుస్తాయి. అందుకే అనువాదకుడిని ఎదుర్కొన్న సెషన్ ఎదుర్కోని సెషన్ కంటే భిన్నంగా కనిపిస్తుంది.

చుట్టడం ఒక కవరు, ప్రోటోకాల్ మార్పు కాదు: ESP తన హెడర్, సమగ్రత తనిఖీ మరియు ఎన్క్రిప్షన్ను నిలుపుకుంటుంది, UDP అనువాదకుడికి అవసరమైన పోర్ట్లను మాత్రమే అందిస్తుంది. పోర్ట్ 500 IKE మార్పిడిని మోస్తుంది; 4500 గుర్తింపు తర్వాత చుట్టబడిన డేటాను, తరచుగా తర్వాతి IKE సందేశాలను కూడా మోస్తుంది. ఏ పోర్ట్ కూడా ప్రవాహాన్ని TCP కనెక్షన్గా చేయదు, ఈ ఊహే క్యాప్చర్ చదివే చాలా మందిని తప్పుదోవ పట్టిస్తుంది.

రెండు దశలను క్రమంగా తనిఖీ చేయండి

మొదట నియంత్రణ మార్పిడిని, తర్వాత డేటా మార్గాన్ని నిరూపించి, రెండింటినీ మీ నోట్స్లో వేరుగా ఉంచండి. 500 వద్ద ట్రాఫిక్ చూపించి 4500 వద్ద ఎప్పుడూ చూపించని క్యాప్చర్ సాధారణంగా డేటా మార్గం ఫిల్టర్ అవుతున్నట్లు అర్థం, కాబట్టి సరిదిద్దడం క్లయింట్లో కాదు, ఫైర్వాల్ నియమంలో చేయాలి.

tcpdump -ni any 'udp port 500 or udp port 4500' తో రెండు పోర్ట్లను గమనించండి, సెషన్ సక్రియంగా ఉన్నప్పుడు రౌటర్లోని అనువాద పట్టికను చదవండి. ఆ పట్టిక గేట్వే నిజంగా చూడబోయే మూల పోర్ట్ను చూపిస్తుంది, ల్యాప్టాప్లోని క్యాప్చర్ రూపకల్పన ప్రకారమే దానికి భిన్నంగా ఉంటుంది: ల్యాప్టాప్ 500 అని నమ్ముతుంది, గేట్వే అనువదించిన మూల పోర్ట్తో 4500 చూస్తుంది, రెండూ సరైనవే. అదే ప్రవాహం, అనువాదానికి ముందు మరియు తర్వాత:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

చుట్టడం వివరించే లక్షణాలు, మరియు వివరించని రెండు

నియంత్రణ మార్పిడిని అనుమతించి చుట్టబడిన డేటాను నిరోధించే రౌటర్ 'టన్నెల్ పైన ఉంది కానీ ఏమీ దాటడం లేదు' అనే నివేదికను ఇస్తుంది. మ్యాపింగ్ పట్టికలు గడువు ముగుస్తాయి, కాబట్టి నిష్క్రియ సెషన్కు రెండు వైపులా ఉద్దేశపూర్వకంగా పంపే సజీవ ట్రాఫిక్ అవసరం, ఆ ప్యాకెట్లు ఆరోగ్య తనిఖీలు కావు. ఒక గేట్వే వెనుక అనేక క్లయింట్లు కలిసి విఫలమైతే, ఆ గేట్వే అనువాదాన్ని మరియు ఏదైనా పాత పాస్త్రూ విశేషాన్ని పరిశీలించండి. చుట్టడం టన్నెల్ లేచిన తర్వాత ప్రతి క్లయింట్లో విఫలమయ్యే అప్లికేషన్ను లేదా బ్లాక్ పేజీలోని సర్టిఫికేట్ హెచ్చరికను వివరించదు; రెండూ ఈ పొరకు పైనే ఉంటాయి.

ఒకేసారి ఇద్దరు క్లయింట్ల కోసం మ్యాపింగ్ పట్టికను చదవండి: ఇద్దరూ ఒకే అనువదించిన పోర్ట్ చూపిస్తే, పరికరం గేట్వే కోరిన విధంగా వాటిని వేరు చేయడం లేదు. అసలు ESPని ఒకే హోస్ట్కు ఇచ్చే పాస్త్రూ మోడ్ అనేక అనువదించిన క్లయింట్లకు సేవ చేయడానికి సమానం కాదు, విక్రేతలు రెండింటినీ IPsec-స్నేహపూర్వకమని వర్ణించినప్పటికీ. డబుల్ NAT మ్యాపింగ్ పొర మరియు మరో గడువు ముగింపు బిందువును జోడిస్తుంది, కానీ బయటకు వెళ్లే కనెక్షన్లను స్వయంచాలకంగా తెంచదు.

సజీవ ట్రాఫిక్ నిర్వహణ పుస్తకంలో తనకంటూ ఒక వరుసకు అర్హం, ఎందుకంటే నిష్క్రియ కాలాల్లో సమాధాన మార్గాన్ని తెరిచి ఉంచేది అదే. విక్రేత డాక్యుమెంట్ చేసిన చోట దాన్ని ప్రారంభించండి, సెషన్ మొదటి వినియోగంలో కాకుండా కొన్ని నిమిషాల నిశ్శబ్దం తర్వాత చనిపోయినప్పుడు మొదట దాన్నే తనిఖీ చేయండి.

మ్యాపింగ్ యజమానిని మార్చి, తర్వాత మళ్లీ పరీక్షించండి

పోర్ట్ ఊహించడం బదులు రెండు వైపులా మద్దతు ఉన్న NAT ట్రావర్సల్ సెట్టింగ్లను అనుసరించండి. ఒక క్లయింట్లో స్థానిక మూల పోర్ట్ను సవరించడం వల్ల అవతలి చివరలో వినిపించే సేవ మారదు, సాధారణంగా ఇప్పటికే నిర్మించిన మ్యాపింగ్ చిరిగిపోతుంది. క్లయింట్ మీరు నియంత్రించని పరికరం వెనుక ఉంటే, మార్పు దాని యజమానికి చెందుతుంది.

ఏదైనా మార్పు తర్వాత రెండు దశల తనిఖీలను పునరావృతం చేయండి మరియు స్థితి స్క్రీన్ ఆకుపచ్చగా మారిందని మాత్రమే కాదు, డేటా ప్యాకెట్ దాటుతున్నట్లు నిర్ధారించండి. ట్యూపుల్స్, మ్యాపింగ్ పట్టిక అవుట్పుట్ మరియు నియమ మార్పును ఒకే నోట్లో ఉంచండి, తద్వారా తదుపరి వ్యక్తి నియంత్రణ మార్పిడి నుండి మళ్లీ ప్రారంభించడు. NAT ట్రావర్సల్ గురించి strongSwan నోట్స్ రెండు దశల వెనుక ఉన్న ఎన్క్యాప్సులేషన్ మరియు సజీవ సెట్టింగ్లను కవర్ చేస్తాయి.