NAT orqali L2TP/IPsec: aslida nima buziladi va nima uchun

NAT L2TP/IPsec ni buzadi degan da'vo yarim to'g'ri va shuning uchun foydasiz. Manzillarni tarjima qilish odatiy hol, NAT traversal aynan undan omon qolish uchun mavjud va har kuni millionlab mijozlar router orqasidan ulanadi. Buziladigan narsa muayyan almashinuvning muayyan bosqichidir: IKE hech qachon javob olmaydi, inkapsulyatsiya qilingan tunnel faqat bitta protokolga ruxsat beruvchi siyosat bilan tashlanadi yoki tunnel bo'sh turganda tarjima xaritasi tugaydi. Qaysi bosqichda ekaningizni bilganingizdan so'ng, tuzatish odatda bitta qoida yoki keepalive bo'ladi, yangi VPN dizayni emas.

Afsona noto'g'ri savoldir

Foydali savol «NAT buni buzadimi» emas, balki «almashinuvning qaysi qismi tarjima qilinadi va tarjima qiluvchi qurilma u bilan nima qiladi». L2TP/IPsec qatlamli protokol: IKE muzokara qiladi, ESP himoya qiladi va L2TP shu himoya ichida PPP tashiydi. Manzillarni tarjima qilish har bir qatlamga turlicha ta'sir qiladi va xato oynasiga emas, muzokara bosqichiga qarasangiz, nosozlik belgilarini ajratish mumkin.

Vebni muvaffaqiyatli kezgan router faqat manba portini tarjima qilish bilan TCP ishlashini isbotlaydi. U UDP 500, UDP 4500 yoki 50 protokoli haqida hech narsa demaydi va bu joylashtirish aynan shu uchtasiga bog'liq.

1-bosqich: IKE umuman javob olishi kerak

Birinchi almashinuv UDP 500 da javob beruvchiga boradi. Agar hech qanday javob qaytmasa, boshqa hech narsa muhim emas: oldindan bo'lishilgan kalit, taklif va hisob ma'lumotlari o'qilmasdan qoladi. Mijozning kutish vaqtidan xulosa chiqarmasdan so'rov va javobni kuzating:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Javobsiz so'rov odatda xavfsizlik devori yoki yuqoridagi operator paketni tashlayotganini bildiradi, server uni rad etganini emas. Taklif yoki sertifikat muammosini nomlaydigan bildirishnoma yuki bilan kelgan javob paketlar yetib kelganini va muzokara mazmun tufayli muvaffaqiyatsiz bo'lganini bildiradi, bu butunlay boshqa tuzatish.

Ikkala tomon tarjima orqasida bo'lsa, boshlovchi faqat javob beruvchiga yetib borishi kerak, shuning uchun mijoz tomonidagi joylashtirishlarning aksariyati 1-bosqichdan ishlaydi. Server tomonida joylashtirish kiruvchi muammo boshlanadigan joy va shuning uchun bu ikki holatni hech qachon bitta deb muhokama qilmaslik kerak.

2-bosqich: inkapsulyatsiya xavfsizlik devori ko'radigan narsani o'zgartiradi

ESP IP protokoli, TCP yoki UDP porti emas va oddiy port manzili tarjimasida qayta yozadigan port maydoni yo'q. Shuning uchun NAT traversal himoyalangan yukni UDP 4500 ichiga o'tkazadi: inkapsulyatsiya tarjima qiluvchi qurilmaga qanday tarjima qilishni biladigan narsani beradi. Bu sodir bo'lgach, faqat UDP 500 uchun yozilgan xavfsizlik devori qoidasi muzokaraga ruxsat berib tunneli tashlaydi, natijada jurnal muvaffaqiyatli 1-fazani va hech qanday trafik yo'qligini ko'rsatadigan chalkash natija chiqadi.

IKE almashinuvining o'zi ham NAT aniqlangandan so'ng UDP 4500 ga o'tishi mumkin, bu faqat 500 ga ruxsat berganlarni hayratda qoldiradi. Yo'lda ikkala portga ikki yo'nalishda ruxsat bering va holatli xavfsizlik devori oqimni faqat trafik ko'rguncha ushlab turishini yodda tuting.

50 protokoli tarjimasiz yo'llarda va oraliq quti uni ruxsat berishga sozlangan yo'llarda ham muhim. Agar istisno qilish orqali diagnostika qilsangiz, qoidalarni uyib qo'shish o'rniga farazni o'chiring: 500, 4500 va ESP ga ruxsat bering, tunnel ko'tarilishini tasdiqlang, so'ng keraksiz bo'lib chiqqanini olib tashlang. Hech kim tushuntira olmaydigan qoida keyingi uzilishga sabab bo'lganda hech kim olib tashlamaydigan qoidadir. Toraytirishni o'zgartirish jurnaliga u tuzatgan bosqich bilan birga yozing, keyingi muhandis o'sha barmoq qoidasidan emas, sizning dalillaringizdan boshlashi uchun.

3-bosqich: xarita tugaydi va tunnel o'ladi

Tarjima qiluvchi qurilma uzatadigan oqimlar uchun holat saqlaydi va bu holatning umri bor. Hech kim ishlatmasa, L2TP/IPsec tunnel kam trafik tashiydi, shuning uchun bo'sh tunnel o'z xaritasidan uzoq yashab, qaytish trafigini olishni to'xtatishi mumkin. Mijoz ulanganiga ishonch bilan qoladi, server hech narsa ko'rmaydi va birinchi alomat odatda VPN xatosi emas, ilova kutish vaqti tugashi.

O'lgan sherikni aniqlash va NAT keepalive aynan shu uchun bor va ikkala tomon ham ularni yuborishga tayyor bo'lishi kerak. Agar serveringiz tarjima orqasida bo'lsa, Windows tomonidagi talab server o'zining chiquvchi paketlariga UDP inkapsulyatsiyasini taxmin qilishiga majbur qiluvchi hujjatlashtirilgan registr sozlamasidir; usiz javob beruvchi tarjima qiluvchi qurilma qaytara olmaydigan ESP yuboradi. Bu server konfiguratsiyasi masalasi, mijozniki emas.

WAN manzilining o'zgarishi boshqa tomondan xuddi shu natijani beradi: xarita yangi manzil atrofida qayta quriladi va eski xavfsizlik assotsiatsiyasi endi mavjud bo'lmagan kortejga ishora qiladi. Qayta ulanish xatti-harakati mijoz ilovasiga tegishli, shuning uchun «router qayta ishga tushgandan keyin qayta ulan» bir mijoza ishlaydi, boshqasida qo'lda almashtirgich kerak.

Operator darajasidagi NAT orqasida joylashtirish boshqa muammo

Agar uyda L2TP/IPsec serverini joylashtirib, unga tashqaridan yetib bormoqchi bo'lsangiz, talab so'ralmagan kiruvchi yetib borishlikdir va NAT traversal buni bermaydi. Routeringiz oldida operator darajasidagi NAT bo'lsa, ommaviy manzil bo'lishilgan va xarita faqat chiquvchi bo'lgani uchun sizni yetib borishli qiladigan yo'naltiriladigan port yo'q.

Hech qanday IPsec pass-through katagi buni o'zgartirmaydi va hech qanday mijoz konfiguratsiyasi buning o'rnini to'ldirmaydi. Qo'llab-quvvatlanadigan javoblar haqiqatan yetib borishli manzil, joylashtirilgan tugash nuqtasi yoki har bir ishtirokchi chiquvchi ulanish o'rnatadigan arxitekturadir. UDP inkapsulyatsiya spetsifikatsiyasi mavjud oqimlar uchun tarjima muammosini hal qiladi; operator taklif qilmagan joyda kiruvchi yo'l yaratmaydi.

Shuning uchun taxmin qilish o'rniga tarmoqlarni solishtiring. Xuddi shu qurilma va profilni boshqa ruxsat etilgan tarmoqqa olib borib, u yerda qaysi bosqich ishlamay qolishini ko'ring. Boshqa joyda ishlasa, farq yo'lda, va bu qidiruvni butun konfiguratsiya o'rniga yuqoridagi uch bosqichga toraytiradi.