NAT traversal ESP'ni UDP ichida qanday o'raydi

Bir router orqasidagi ikki mijoz bitta IPsec shlyuzi bilan gaplashadi, biri doim uzilib turadi, ikkinchisi ulangan holda qoladi. Asl ESP — portlari yo'q 50-raqamli IP protokoli, shuning uchun bir necha mijoz bitta manzilni bo'lishganda tarjimon xaritani bog'lash uchun hech narsaga ega emas. NAT traversal ESP'ni 4500-da UDP ichiga o'rab shu bo'shliqni yopadi va o'sha sarlavha keyingi alomatlarning ko'pini tushuntiradi. U o'zgartirilishi kerak bo'lgan qurilmani ham ko'rsatadi.

Nega ma'lumot tekisligi 4500-portga o'tadi

Sozlash paytida IKEv2 har bir tomon ishlatadi deb hisoblagan manzillar va portlarni o'zining NAT aniqlash bildirishnomalarida xesh almashib taqqoslaydi. Xeshlar mos kelmasa, yo'lda qayerdadir tarjimon o'tiribdi va ikki tomon ham himoyalangan trafikni UDP inkapsulatsiyasiga o'tkazadi. Shuning uchun tarjimonga duch kelgan sessiya duch kelmagandan boshqacha ko'rinadi.

O'rash — bu konvert, protokol o'zgarishi emas: ESP o'z sarlavhasini, yaxlitlik tekshiruvini va shifrlashini saqlab qoladi, UDP esa faqat tarjimonga kerakli portlarni beradi. 500-port IKE almashinuvini tashiydi; 4500 aniqlashdan keyingi inkapsulatsiyalangan ma'lumotlarni va ko'pincha keyingi IKE xabarlarini ham tashiydi. Hech bir port oqimni TCP ulanishiga aylantirmaydi, aynan shu taxmin kapturani o'qiyotgan ko'pchilikni chalg'itadi.

Ikki bosqichni navbat bilan tekshiring

Avval boshqaruv almashinuvini, so'ng ma'lumot yo'lini isbotlang va ikkalasini yozuvlaringizda alohida saqlang. 500-da trafikni ko'rsatib, 4500-da hech qachon ko'rsatmaydigan kaptura odatda ma'lumot yo'li filtrlanayotganini bildiradi, shuning uchun tuzatish mijozda emas, xavfsizlik devori qoidasida bo'lishi kerak.

Ikki portni tcpdump -ni any 'udp port 500 or udp port 4500' bilan kuzating va sessiya faol bo'lganda routerdagi tarjima jadvalini o'qing. Bu jadval shlyuz haqiqatan ko'radigan manba portni ko'rsatadi, noutbukdagi kaptura esa dizayn bo'yicha undan farq qiladi: noutbuk 500 deb hisoblaydi, shlyuz esa tarjima qilingan manba port bilan 4500-ni ko'radi va ikkalasi ham to'g'ri. Xuddi shu oqim, tarjimadan oldin va keyin:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

O'rash tushuntiradigan alomatlar va tushuntirmaydigan ikkitasi

Boshqaruv almashinuviga ruxsat berib, inkapsulatsiyalangan ma'lumotni bloklaydigan router «tunnel ko'tarilgan, lekin hech narsa o'tmayapti» degan hisobotni beradi. Xaritalash jadvallari tugaydi, shuning uchun bo'sh turgan sessiyaga tomonlar ataylab yuboradigan tirik tutish trafigi kerak va bu paketlar salomatlik tekshiruvi emas. Bitta shlyuz orqasidagi bir necha mijoz birga muvaffaqiyatsiz bo'lsa, o'sha shlyuzning tarjimasini va har qanday eski o'tkazish xususiyatini tekshiring. O'rash tunnel ko'tarilgandan keyin har bir mijozda muvaffaqiyatsiz bo'ladigan dasturni ham, bloklash sahifasidagi sertifikat ogohlantirishini ham tushuntirmaydi; ikkalasi ham bu qatlamdan yuqorida.

Xaritalash jadvalini bir vaqtning o'zida ikki mijoz uchun o'qing: agar ikkalasi ham bir xil tarjima qilingan portni ko'rsatsa, qurilma ularni shlyuz talab qilganday ajratmayapti. Asl ESP'ni faqat bitta hostga beradigan o'tkazish rejimi bir necha tarjima qilingan mijozga xizmat ko'rsatishga teng emas, garchi sotuvchilar ikkalasini ham IPsec bilan do'st deb ta'riflasa. Ikki qavatli NAT xaritalash qatlami va yana bir tugash nuqtasini qo'shadi, lekin chiquvchi ulanishlarni avtomatik uzmaydi.

Tirik tutish trafigi foydalanish qo'llanmasida o'z satriga loyiq, chunki bo'sh davrlarda javob yo'lini ochiq ushlab turadigan aynan shu. Uni sotuvchi hujjatlashtirgan joyda yoqing va sessiya birinchi ishlatishda emas, bir necha daqiqa sukunatdan keyin o'lsa, birinchi navbatda shuni tekshiring.

Xaritalash egasini o'zgartiring, so'ng qayta sinab ko'ring

Portni taxmin qilish o'rniga ikkala tomonda qo'llab-quvvatlanadigan NAT traversal sozlamalariga amal qiling. Bitta mijozda mahalliy manba portini tahrirlash narigi uchda tinglayotgan xizmatni o'zgartira olmaydi va odatda allaqachon qurilgan xaritalashni buzadi. Agar mijoz siz boshqarmaydigan qurilma orqasida bo'lsa, o'zgarish uning egasiga tegishli.

Har qanday o'zgarishdan keyin ikki bosqich tekshiruvini takrorlang va holat ekrani yashil bo'lganini emas, ma'lumot paketi o'tayotganini tasdiqlang. Tupllar, xaritalash jadvali chiqishi va qoida o'zgarishini bitta yozuvda saqlang, keyingi odam boshqaruv almashinuvidan qaytadan boshlamasin. strongSwan'ning NAT traversal haqidagi yozuvlari ikki bosqich orqasidagi inkapsulatsiya va tirik tutish sozlamalarini qamrab oladi.