L2TP/IPsec nípasẹ̀ NAT: kí ni ó ń já ní tòótọ́ àti ìdí

Ọ̀rọ̀ náà pé NAT ń já L2TP/IPsec jẹ́ ìdajì òtítọ́, nítorí náà kò wúlò. Ìtumọ̀ àdírẹ́sì jẹ́ ohun déédé, NAT traversal wà ní pàtó kí ó lè ye é, àwọn mílíọ̀nù alákòóso ń sopọ̀ lójoojúmọ́ lẹ́yìn ẹ̀rọ ìtọ́sọ́nà. Ohun tí ó ń já ni ìpele kan pàtó ti pàṣípààrọ̀ kan pàtó: IKE kò gba ìdáhùn rárá, agbára ìlànà tí ó gba èdè kan ṣoṣo láyè ń sọ gbọ̀ngàn tí a fi kó sínú nù, tàbí mápù ìtumọ̀ ń parí nígbà tí gbọ̀ngàn kò ṣiṣẹ́. Ní kété tí o bá mọ ìpele tí o wà, àtúnṣe náà sábà jẹ́ ìlànà kan tàbí keepalive, kì í ṣe àpẹẹrẹ VPN tuntun.

Ìtàn àròsọ ni ìbéèrè tí kò tọ̀nà

Ìbéèrè tí ó wúlò kì í ṣe «ṣé NAT ń já èyí» bí kò ṣe «èwo apá pàṣípààrọ̀ ni a ń túmọ̀, àti kí ni ẹ̀rọ tí ń túmọ̀ ń ṣe pẹ̀lú rẹ̀». L2TP/IPsec jẹ́ èdè onípẹ̀tẹ́lẹ̀: IKE ń ṣe ìdúnàádúrà, ESP ń dáàbò bo, àti L2TP ń gbé PPP nínú ààbò yẹn. Ìtumọ̀ àdírẹ́sì ń ní ipa ọ̀tọ̀ọ̀tọ̀ lórí pẹ̀tẹ́lẹ̀ kọ̀ọ̀kan, àwọn àmì ìkùnà sì lè yàtọ̀ bí o bá wo ìpele ìdúnàádúrà dípò fèrèsé àṣìṣe.

Ẹ̀rọ ìtọ́sọ́nà tí ó ń ṣàwárí wẹ́ẹ̀bù ní àṣeyọrí ń fi kìkì pé TCP pẹ̀lú ìtumọ̀ ibùdó orísun ń ṣiṣẹ́. Kò sọ ohunkóhun nípa UDP 500, UDP 4500 tàbí èdè 50, àti pé àwọn mẹ́tẹ̀ẹ̀ta yẹn ni ìmúṣẹ yìí gbára lé.

Ìpele 1: IKE gbọ́dọ̀ gba ìdáhùn

Pàṣípààrọ̀ àkọ́kọ́ lọ sí ẹni tí ń dáhùn lórí UDP 500. Bí kò bá sí ìdáhùn tí ó padà, ohunkóhun mìíràn kò ṣe pàtàkì: kọ́kọ́rọ́ tí a pín ṣáájú, àbá àti ẹ̀rí wíwọlé gbogbo wọn wà láìkà. Ẹ má ṣe ṣe àfojúsùn láti àkókò alákòóso, ẹ wo ìbéèrè àti ìdáhùn náà:

sudo tcpdump -n -i any 'udp port 500 or udp port 4500 or proto 50'
swanctl --list-sas

Ìbéèrè tí kò ní ìdáhùn sábà túmọ̀ sí pé firewall tàbí olùpèsè tí ó wà lókè ń ju pákẹ́tì náà nù, kì í ṣe pé sáfà kọ̀ ọ́. Ìdáhùn pẹ̀lú ẹrù ìkéde tí ó dárúkọ àbá tàbí ìṣòro ẹ̀rí túmọ̀ sí pé àwọn pákẹ́tì dé àti pé ìdúnàádúrà kùnà lórí àkóónú, èyí tí ó jẹ́ àtúnṣe mìíràn pátápátá.

Nígbà tí ẹ̀gbẹ́ méjèèjì bá wà lẹ́yìn ìtumọ̀, olùbẹ̀rẹ̀ kan ṣoṣo ni ó ní láti dé ọ̀dọ̀ ẹni tí ń dáhùn, nítorí náà ọ̀pọ̀lọpọ̀ ìmúṣẹ ní ẹ̀gbẹ́ alákòóso ń ṣiṣẹ́ láti ìpele 1. Ìgbàlélẹ̀ ní ẹ̀gbẹ́ sáfà ni ibi tí ìṣòro ìwọlé ti bẹ̀rẹ̀, àti ìdí ni pé kò yẹ kí a máa jíròrò àwọn ipò méjèèjì bí ọ̀kan.

Ìpele 2: ìkójọpọ̀ ń yí ohun tí firewall rí padà

ESP jẹ́ èdè IP, kì í ṣe ibùdó TCP tàbí UDP, àti ìtumọ̀ àdírẹ́sì ibùdó déédé kò ní pápá ibùdó láti tún kọ. Nítorí náà NAT traversal ń gbé ẹrù tí a dáàbò bo sínú UDP 4500: ìkójọpọ̀ ń fún ẹ̀rọ tí ń túmọ̀ ní ohun tí ó mọ bí a ti ń túmọ̀. Ní kété tí ìyẹn bá ṣẹlẹ̀, ìlànà firewall tí a kọ fún UDP 500 nìkan yóò gba ìdúnàádúrà láyè, yóò sì ju gbọ̀ngàn nù, èyí tí ó ń mú àbájáde ìdàrúdàpọ̀ jáde níbi tí àkọsílẹ̀ ti fi ìpele 1 àṣeyọrí àti kò sí ìrìnàjò hàn.

Pàṣípààrọ̀ IKE fúnra rẹ̀ tún lè lọ sí UDP 4500 lẹ́yìn tí a bá ṣàwárí NAT, èyí tí ó ń yà àwọn tí wọ́n gba 500 nìkan láyè lẹ́nu. Gba ibùdó méjèèjì láyè ní ẹ̀gbẹ́ méjèèjì lórí ọ̀nà, kí o sì rántí pé firewall onípò ń dá ìṣàn dúró níwọ̀n ìgbà tí ó bá ń rí ìrìnàjò.

Èdè 50 ṣì ṣe pàtàkì lórí àwọn ọ̀nà tí kò ní ìtumọ̀, àti lórí àwọn ọ̀nà níbi tí a ti ṣètò àpótí àárín láti gbà á láyè. Bí o bá ń ṣe àyẹ̀wò nípa yíyọkúrò, pa àròsọ náà lára dípò kí o fi àwọn ìlànà kún jọ: gba 500, 4500 àti ESP láyè, jẹ́rìí pé gbọ̀ngàn gòkè, kí o sì yọ ohun tí ó jáde pé kò pọn dandan kúrò. Ìlànà tí ẹnikẹ́ni kò lè ṣàlàyé ni ìlànà tí ẹnikẹ́ni kò ní yọ kúrò nígbà tí ó bá di ìdí ìdádúró tó ń bọ̀. Kọ ìdínkù náà sínú àkọsílẹ̀ àyípadà pẹ̀lú ìpele tí ó túnṣe, kí ẹlẹ́rọ̀ tó ń bọ̀ lè bẹ̀rẹ̀ láti ẹ̀rí rẹ dípò láti ìlànà àtẹ́lẹ̀wọ́ kan náà.

Ìpele 3: mápù ń parí, gbọ̀ngàn sì ń kú

Ẹ̀rọ tí ń túmọ̀ ń tọ́jú ipò fún àwọn ìṣàn tí ó ń gbé lọ, ipò yẹn sì ní àkókò ìwàláàyè. Gbọ̀ngàn L2TP/IPsec ń gbé ìrìnàjò díẹ̀ nígbà tí ẹnikẹ́ni kò bá lò ó, nítorí náà gbọ̀ngàn aláìṣiṣẹ́ lè gbé pẹ́ ju mápù rẹ̀ lọ, yóò sì dá ṣíṣe gbígbà ìrìnàjò ìpadà. Alákòóso ń dúró lórí pé ó ti sopọ̀, sáfà kò rí ohunkóhun, àti àmì àkọ́kọ́ sábà jẹ́ àkókò ìparí ohun èlò, kì í ṣe àṣìṣe VPN.

Ìṣàwárí ẹlẹgbẹ́ tí ó kú àti keepalive NAT wà fún èyí, àti ẹ̀gbẹ́ méjèèjì gbọ́dọ̀ ṣetán láti rán wọn. Bí sáfà rẹ bá wà lẹ́yìn ìtumọ̀, ìbéèrè ní ẹ̀gbẹ́ Windows ni ètò àkọsílẹ̀ registry tí ó mú kí sáfà gbà pé ìkójọpọ̀ UDP wà fún àwọn pákẹ́tì jáde tirẹ̀; láìsí rẹ̀, ẹni tí ń dáhùn yóò rán ESP tí ẹ̀rọ ìtumọ̀ kò lè mápù padà. Èyí jẹ́ ọ̀rọ̀ ìṣètò sáfà, kì í ṣe ti alákòóso.

Ìyípadà àdírẹ́sì WAN ń mú àbájáde kan náà wá láti ẹ̀gbẹ́ mìíràn: a tún mápù kọ́ yí àdírẹ́sì tuntun, àti ìsopọ̀ ààbò àtijọ́ ń tọ́ka sí pípẹ́tùn-pẹ́tùn tí kò sí mọ́. Ìhùwàsí àtúnso ni ti ìmúṣẹ alákòóso, àti ìdí ni pé «tún sopọ̀ lẹ́yìn àtúnbẹ̀rẹ̀ ẹ̀rọ ìtọ́sọ́nà» ń ṣiṣẹ́ lórí alákòóso kan, nígbà tí ẹlòmíràn nílò ìyípadà ọwọ́.

Ìgbàlélẹ̀ lẹ́yìn NAT ìpele olùpèsè jẹ́ ìṣòro mìíràn

Bí o bá fẹ́ gbà sáfà L2TP/IPsec sí ilé kí o sì dé ọ̀dọ̀ rẹ̀ láti ìta, ìbéèrè ni ìdékún ìwọlé tí a kò béèrè fún, ìyẹn kì í ṣe ohun tí NAT traversal ń pèsè. NAT ìpele olùpèsè níwájú ẹ̀rọ ìtọ́sọ́nà rẹ túmọ̀ sí pé kò sí ibùdó tí o lè darí tí yóò mú kí o dé, nítorí àdírẹ́sì gbogbogbòò ni a pín àti mápù jẹ́ jáde nìkan.

Kò sí àpótí ìmúdájú IPsec pass-through tí yóò yí ìyẹn padà, kò sì sí ìṣètò alákòóso tí yóò san án. Àwọn ìdáhùn tí a ń gbà ni àdírẹ́sì tí ó dé ní tòótọ́, ibi ìparí tí a gbà, tàbí àgbékalẹ̀ níbi tí olùkópa kọ̀ọ̀kan ti ṣe ìsopọ̀ jáde. Ìpinnu ìkójọpọ̀ UDP ń yanjú ìṣòro ìtumọ̀ fún àwọn ìṣàn tí ó wà; kò dá ọ̀nà ìwọlé tí olùpèsè kò pèsè.

Nítorí náà fi àwọn nẹ́tíwọ́kì wérà dípò kí o ṣe àfojúsùn. Gbé ẹ̀rọ àti profáìlì kan náà lọ sí nẹ́tíwọ́kì mìíràn tí a gbà láyè, kí o wo ìpele tí ó kùnà níbẹ̀. Bí ó bá ṣiṣẹ́ níbòmíràn, ìyàtọ̀ wà nínú ọ̀nà, èyí sì ń dín ìwádìí kù sí àwọn ìpele mẹ́ta lókè dípò ìṣètò gbogbo.