IPsec NAT geçişi ESP'yi UDP içinde nasıl sarar

Aynı yönlendiricinin arkasındaki iki istemci tek bir IPsec ağ geçidiyle konuşur ve biri sürekli düşerken diğeri bağlı kalır. Yerel ESP, portu olmayan 50 numaralı IP protokolüdür, bu yüzden birkaç istemci aynı adresi paylaştığında çeviricinin eşlemeyi bağlayacağı bir şey yoktur. NAT geçişi ESP'yi 4500'de UDP içine sararak bu boşluğu kapatır ve o başlık sonraki belirtilerin çoğunu açıklar. Ayrıca değiştirilmesi gereken cihazı da işaret eder.

Veri düzlemi neden 4500 numaralı porta geçer

Kurulum sırasında IKEv2, her iki tarafın kullandığını düşündüğü adresleri ve portları NAT algılama bildirimlerinde karma değerleri değiştirerek karşılaştırır. Karmalar eşleşmediğinde yolun bir yerinde bir çevirici vardır ve iki eş de korumalı trafiği UDP kapsüllemesine geçirir. Bu yüzden bir çeviriciyle karşılaşan oturum, karşılaşmayandan farklı görünür.

Sarma bir zarf, protokol değişikliği değil: ESP başlığını, bütünlük denetimini ve şifrelemesini korur, UDP ise yalnızca çeviricinin ihtiyaç duyduğu portları sağlar. 500 portu IKE alışverişini taşır; 4500 algılamadan sonraki kapsüllenmiş verileri ve çoğu zaman sonraki IKE iletilerini de taşır. Hiçbir port akışı TCP bağlantısı yapmaz; bir yakalama kaydını okuyan çoğu kişiyi yanıltan varsayım budur.

İki aşamayı sırayla denetleyin

Önce kontrol alışverişini, ardından veri yolunu kanıtlayın ve ikisini notlarınızda ayrı tutun. 500'de trafik gösterip 4500'de hiç göstermeyen bir yakalama genellikle veri yolunun süzüldüğü anlamına gelir, bu yüzden düzeltme istemcide değil güvenlik duvarı kuralında olmalıdır.

Her iki portu tcpdump -ni any 'udp port 500 or udp port 4500' ile izleyin ve oturum etkinken yönlendiricideki çeviri tablosunu okuyun. Bu tablo, ağ geçidinin gerçekte göreceği kaynak portu gösterir ve dizüstü bilgisayardaki yakalama tasarım gereği ondan ayrılır: dizüstü 500 olduğuna inanırken ağ geçidi çevrilmiş kaynak portuyla 4500 görür ve ikisi de doğrudur. Aynı akış, çeviriden önce ve sonra:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Sarmanın açıkladığı belirtiler ve açıklamadığı iki durum

Kontrol alışverişine izin verip kapsüllenmiş verileri engelleyen bir yönlendirici «tünel ayakta ama hiçbir şey geçmiyor» raporunu üretir. Eşleme tabloları sona erer, bu yüzden boşta bir oturum, tarafların bilerek gönderdiği canlı tutma trafiğine ihtiyaç duyar ve o paketler sağlık denetimi değildir. Bir ağ geçidinin arkasındaki birkaç istemci birlikte başarısız olursa, o ağ geçidinin çevirisini ve eski herhangi bir geçiş özelliğini inceleyin. Sarma, tünel açıldıktan sonra her istemcide başarısız olan bir uygulamayı ya da engelleme sayfasındaki sertifika uyarısını açıklamaz; ikisi de bu katmanın üstündedir.

Eşleme tablosunu iki istemci için aynı anda okuyun: ikisi de aynı çevrilmiş portu gösteriyorsa cihaz onları ağ geçidinin istediği şekilde ayırmıyor demektir. Yerel ESP'yi yalnızca tek bir ana bilgisayara veren bir geçiş modu, birkaç çevrilmiş istemciye hizmet etmeye eşdeğer değildir, gerçi satıcılar ikisini de IPsec dostu olarak tanımlar. Çift NAT bir eşleme katmanı ve bir son kullanma noktası daha ekler, ancak giden bağlantıları otomatik olarak koparmaz.

Canlı tutma trafiği işletim el kitabında kendi satırını hak eder, çünkü boşta dönemlerde yanıt yolunu açık tutan odur. Satıcının belgelediği yerde etkinleştirin ve oturum ilk kullanımda değil, birkaç dakikalık sessizlikten sonra öldüğünde önce onu denetleyin.

Eşlemenin sahibini değiştirin, sonra yeniden test edin

Portu tahmin etmek yerine her iki eşte desteklenen NAT geçişi ayarlarını izleyin. Bir istemcide yerel kaynak portunu düzenlemek karşı uçta dinleyen hizmeti değiştiremez ve genellikle kurulmuş eşlemeyi bozar. İstemci, denetlemediğiniz bir cihazın arkasındaysa değişiklik onun sahibine aittir.

Her değişiklikten sonra iki aşama denetimini yineleyin ve yalnızca durum ekranının yeşile döndüğünü değil, bir veri paketinin geçtiğini doğrulayın. Demetleri, eşleme tablosu çıktısını ve kural değişikliğini tek bir notta tutun ki sonraki kişi kontrol alışverişinden yeniden başlamasın. strongSwan'ın NAT geçişi notları iki aşamanın arkasındaki kapsülleme ve canlı tutma ayarlarını kapsar.