Bí NAT traversal ṣe ń wé ESP mọ́ inú UDP

Àwọn oníbàárà méjì lẹ́yìn router kan náà ń bá ẹnu-ọ̀nà IPsec kan sọ̀rọ̀, ọ̀kan sì ń já lulẹ̀ nígbà gbogbo nígbà tí èkejì wà ní ìsopọ̀. ESP ìpilẹ̀ jẹ́ ìlànà IP 50 tí kò ní pọ́ọ̀tì, nítorí náà aṣètúmọ̀ kò ní ohun tí yóò fi so àwòrán kan mọ́ nígbà tí ọ̀pọ̀ oníbàárà bá pín àdírẹ́sì kan. NAT traversal ń dí àlàfo yẹn nípa wí wé ESP mọ́ inú UDP ní 4500, àti pé orí ọ̀rọ̀ yẹn ń ṣàlàyé ọ̀pọ̀ jùlọ àwọn àmì tó ń tẹ̀lé. Ó tún ń tọ́ka sí ẹ̀rọ tí a gbọ́dọ̀ yí padà.

Ìdí tí pẹ̀tẹ́lẹ̀ dátà fi ń lọ sí pọ́ọ̀tì 4500

Ní àkókò ìṣètò IKEv2 ń fi àwọn àdírẹ́sì àti pọ́ọ̀tì tí ẹ̀ka kọ̀ọ̀kan gbà pé ó ń lò wé ara wọn, nípa pààrọ̀ àwọn hash nínú àwọn ìkíni ìwárí NAT rẹ̀. Nígbà tí àwọn hash kò bá bára mu, aṣètúmọ̀ wà níbìkan lórí ipa ọ̀nà, àti pé ẹ̀ka méjèèjì ń gbé ìrìnàjò tí a dáàbò bo lọ sí ìwéwé UDP. Ìdí nìyẹn tí ìpàdé tí ó bá aṣètúmọ̀ pàdé fi yàtọ̀ sí èyí tí kò pàdé.

Ìwéwé jẹ́ àpòsó, kì í ṣe ìyípadà ìlànà: ESP ń pa orí ọ̀rọ̀ rẹ̀, àyẹ̀wò ìdúróṣinṣin rẹ̀ àti ìsọ̀rọ̀ ìkọ̀kọ̀ rẹ̀ mọ́, UDP sì ń pèsè àwọn pọ́ọ̀tì tí aṣètúmọ̀ nílò nìkan. Pọ́ọ̀tì 500 ń gbé ìpààrọ̀ IKE; 4500 ń gbé dátà tí a wé mọ́ lẹ́yìn ìwárí, àti ní ọ̀pọ̀ ìgbà àwọn ìfiránṣẹ́ IKE tó ń tẹ̀lé. Kò sí pọ́ọ̀tì tí ó sọ ìṣàn náà di ìsopọ̀ TCP, èròǹgbà yẹn ni ó ń tannijẹ ọ̀pọ̀ jùlọ àwọn tí ń ka gbàdà.

Ṣàyẹ̀wò ìgbésẹ̀ méjèèjì ní tẹ̀léntẹ̀lé

Kọ́kọ́ fi ìpààrọ̀ ìṣàkóso hàn, lẹ́yìn náà ọ̀nà dátà, kí o sì tọ́jú méjèèjì lọ́tọ̀ọ̀tọ̀ nínú àwọn àkọsílẹ̀ rẹ. Gbàdà tí ó ń fi ìrìnàjò hàn ní 500 tí kò sì fi hàn ní 4500 rárá máa ń túmọ̀ sí pé a ń ṣe àyọ̀ ọ̀nà dátà, nítorí náà àtúnṣe wà nínú ìlànà firewall kì í ṣe nínú oníbàárà.

Ṣọ́ àwọn pọ́ọ̀tì méjèèjì pẹ̀lú tcpdump -ni any 'udp port 500 or udp port 4500', kí o sì ka tábìlì ìtúmọ̀ lórí router nígbà tí ìpàdé wà ní ìgbésí ayé. Tábìlì yẹn ń fi pọ́ọ̀tì orísun tí ẹnu-ọ̀nà yóò rí ní ti gidi hàn, gbàdà lórí kọ̀mpútà gbéé sì yàtọ̀ nípa àpẹẹrẹ: kọ̀mpútà gbà pé 500 nígbà tí ẹnu-ọ̀nà rí 4500 pẹ̀lú pọ́ọ̀tì orísun tí a túmọ̀, àti pé àwọn méjèèjì tọ́. Ìṣàn kan náà, kí ó tó di ìtúmọ̀ àti lẹ́yìn rẹ̀:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Àwọn àmì tí ìwéwé ń ṣàlàyé, àti méjì tí kò ṣàlàyé

Router tí ó ń gba ìpààrọ̀ ìṣàkóso láàyè tí ó sì ń dí dátà tí a wé mọ́ ń mú ìròyìn wá pé tunnel wà lókè ṣùgbọ́n kò sí ohun tí ń kọjá. Àwọn tábìlì àwòrán ń parí, nítorí náà ìpàdé aláìṣiṣẹ́ nílò ìrìnàjò ìmú-ẹ̀mí tí àwọn ẹ̀ka ń fi mọ̀ọ́mọ̀ ránṣẹ́, àti pé àwọn pákéètì yẹn kì í ṣe àyẹ̀wò ìlera. Nígbà tí ọ̀pọ̀ oníbàárà lẹ́yìn ẹnu-ọ̀nà kan bá kùnà papọ̀, ṣàyẹ̀wò ìtúmọ̀ ẹnu-ọ̀nà yẹn àti irú àbá tí ó ti pẹ́ ti ìgbékọjá. Ìwéwé kò ṣàlàyé ohun èlò tí ó ń kùnà lọ́dọ̀ gbogbo oníbàárà lẹ́yìn tí tunnel dìde, bẹ́ẹ̀ ni kò ṣàlàyé ìkìlọ̀ ìwé-ẹ̀rí lórí ojú-ìwé ìdínà; àwọn méjèèjì wà lórí ìpele yìí.

Ka tábìlì àwòrán fún oníbàárà méjì ní àkókò kan: bí àwọn méjèèjì bá ń fi pọ́ọ̀tì ìtúmọ̀ kan náà hàn, ẹ̀rọ kò ya wọ́n sọ́tọ̀ bí ẹnu-ọ̀nà ṣe ń béèrè. Ipò ìgbékọjá tí ó ń fi ESP ìpilẹ̀ fún ẹ̀rọ kan ṣoṣo kò dọ́gba pẹ̀lú sísin ọ̀pọ̀ oníbàárà tí a túmọ̀, bí ó tilẹ̀ jẹ́ pé àwọn olùtà ń ṣàpèjúwe méjèèjì gẹ́gẹ́ bí ọ̀rẹ́ IPsec. NAT ìlọ́po méjì ń fi ìpele àwòrán àti ibi ìparí mìíràn kún, ṣùgbọ́n kò ń já àwọn ìsopọ̀ ìjáde já lójú-ọ̀nà.

Ìrìnàjò ìmú-ẹ̀mí yẹ kí ó ní ìlà tirẹ̀ nínú ìwé ìtọ́sọ́nà iṣẹ́, nítorí pé òun ni ó ń pa ọ̀nà ìdáhùn mọ́ ṣíṣí ní àwọn àkókò àìṣiṣẹ́. Mú u ṣiṣẹ́ níbi tí olùtà bá ti kọ ọ́ sílẹ̀, kí o sì ṣàyẹ̀wò rẹ̀ kọ́kọ́ nígbà tí ìpàdé bá kú lẹ́yìn àwọn ìṣẹ́jú ìdákẹ́jẹ́ kì í ṣe ní àkọ́kọ́ ìlò.

Yí ẹni tí ó ní àwòrán náà padà, lẹ́yìn náà gbìyànjú lẹ́ẹ̀kan sí

Tẹ̀lé àwọn ìṣètò NAT traversal tí a ṣe àtìlẹ́yìn fún ní ẹ̀ka méjèèjì dípò kí o ka pọ́ọ̀tì. Yíyí pọ́ọ̀tì orísun àdúgbò padà lórí oníbàárà kan kò lè yí iṣẹ́ tí ń gbọ́ ní ìpẹ̀kun kejì padà, ó sì máa ń ba àwòrán tí a ti kọ́ jẹ́. Bí oníbàárà bá wà lẹ́yìn ẹ̀rọ tí ìwọ kò ṣàkóso, ìyípadà jẹ́ ti ẹni tí ó ni í.

Lẹ́yìn ìyípadà kankan, tún àwọn àyẹ̀wò ìgbésẹ̀ méjèèjì ṣe kí o sì jẹ́rìí pé pákéètì dátà ń kọjá, kì í ṣe pé ojú-ìwé ipò ti di àwọ̀ ewé nìkan. Tọ́jú àwọn tuple, ìjáde tábìlì àwòrán àti ìyípadà ìlànà nínú àkọsílẹ̀ kan, kí ẹni tó kàn má ba à tún bẹ̀rẹ̀ láti ìpààrọ̀ ìṣàkóso.Àwọn àkọsílẹ̀ strongSwan nípa NAT traversal ń bo àwọn ìṣètò ìwéwé àti ìmú-ẹ̀mí lẹ́yìn ìgbésẹ̀ méjèèjì.