1. IKE端口浮动
IPsec在隧道建立第一第二阶段主要进行加密方式、加密策略等信息的协商,这部分功能是通过IKE协议来实现的。
IKE协议默认端口为500,但是如果IPsec隧道传输路径上存在NAT设备,那么IKE的端口会从500浮动到4500端口,这样做最主要的目的是:
避免某些NAT设备不转换源端口为500的报文,从而导致NAT穿越失败。
因此IKE通常情况下会同时监控UDP的两个端口:500和4500。
2. IKE端口是否浮动
前一段时间遇到场景:隧道可以正常建立成功,但是数据不通。查了一周时间确定是由于对方设备不支持IKE端口浮动,即使在NAT穿越情况下也未进行端口浮动,依然使用了500端口。
下面是基于openswan源码整理的NAT-T相关的接口及关系:
2.1 探测是否支持NAT-T
IPsec的隧道的发起方会在第一阶段的第一个报文中将本端支持的NAT-T标准以负载VID的方式发送到对端,在openswan源码中VID与NAT-T类型对应关系如下:
序号 | VID类型 | 对应的数值 | NAT-T类型 | 支持端口浮动 |
---|---|---|---|---|
1 | VID_NATT_IETF_00 | 105 | NAT_TRAVERSAL_IETF_00_01 | 否 |
2 | VID_NATT_IETF_02_N | 106 | NAT_TRAVERSAL_IETF_02_03 | 是 |
3 | VID_NATT_IETF_02 | 107 | NAT_TRAVERSAL_IETF_02_03 | 是 |
4 | VID_NATT_IETF_03 | 108 | NAT_TRAVERSAL_IETF_02_03 | 是 |
5 | VID_NATT_RFC | 109 | NAT_TRAVERSAL_RFC | 是 |
对端根据接收到的标准(一般包含多个)中选择其中一个VID作为NAT-T的类型,而VID选择的依据便是**“选择数值大的标准”**,也就是上表中的VID_XXX的优先级随着数值增加而依次递增:VID_NATT_RFC > VID_NATT_IETF_03 > VID_NATT_IETF_02 > VID_NATT_IETF_02_N > VID_NATT_IETF_00。
2.2 探测路径上是否存在NAT设备
在主模式下,NAT设备的探测是在第三四个报文中通过NAT-D来探测的,探测的方式就计算本端IP地址和端口的HASH1值和对端IP地址和端口的HASH2值,然后将这两个哈希值同时以NAT-D负载的方式发送给对方设备,对方收到后通过计算接收到的报文中源和目的的IP地址和端口的哈希值与NAT-D负载中的哈希值进行比较:
判断依据:
- 计算对端的IP地址和端口的哈希值hash1, 然后与报文中NAT-D中对端计算的哈希值HASH1进行比较,如果不同,说明对端的IP地址或者端口发生了变化,因此对端设备是位于NAT设备之后的。
- 计算本端的IP地址和端口的哈希值hash2, 然后和报文中NAT-D负载中对端的计算结果HASH2进行比较,如果不同,则说明本端的IP地址或者端口发生了变化,因此本端设备是位于NAT设备之后的。
- 由于响应端在第三个报文时便可以知道链路上的NAT情况,但是发送端还不清楚,因此响应端需要将本端和对端的哈希值计算后填充到第四个报文的NAT-D负载中发送给发起端。
2.3 openswan源码说明
在openswan源码中,NAT-T的类型(包括选用的NAT-T标准, NAT情况)存储在st->hidden_variables.st_nat_traversal之中,用位来表示(高31---- 低0):
其中:
NAT-T类型(标准) | st_nat_traversal中的位 |
---|---|
NAT_TRAVERSAL_IETF_00_01 | 第1位 |
NAT_TRAVERSAL_IETF_02_03 | 第2位 |
NAT_TRAVERSAL_RFC | 第3位 |
对端设备NAT | 第31位 |
本端设备NAT | 第30位 |
3. IKE端口浮动几个疑问
3.1 IKE端口浮动的原因
端口浮动的原因在于有些NAT设备对于500端口的报文不做NAT转换,从而导致NAT穿越失败。至于都包括哪些设备,暂不清楚。因此将端口浮动到4500后,方便NAT设备进行映射转换,从而实现NAT-T穿越。
3.2 IKE端口浮动是必须的吗?
首先说明,端口浮动不是必须的,但是现在通常情况下是进行端口浮动的:即如果有NAT-T存在,则IKE端口会从500切换到4500。
3.3 IKE端口浮动一定是浮动到4500吗?
IKE端口浮动肯定是将端口由500浮动到4500的(包括源端口和目的端口),但是中间的NAT设备如果支持端口映射的话,那么一般是将源端口做一个映射, 源端口做映射对于IPSEC影响并不大,但是要求IPsec能够响应来自任意端口的报文(下图中的X便是经过NAPT映射后的IPsec报文)。NAT设备做端口映射的目的主要为了为了实现多路分解和复用。