Skip to main content
您好,欢迎光临IDC汇,需要什么服务器直接咨询客服,方便快捷。客服QQ 点击这里给我发消息
首页 > 服务器安全 »正文

IPSec NAT-T穿越技术

服务器安全 webadmin 2020-07-29 08:51:58 查看评论 加入收藏

IPSec NAT-T穿越技术

在NAT技术和IPsec技术的应用都非常广泛。但从本质上来说,两者是存在着矛盾的。

 

1.从IPsec的角度上说,IPsec要保证数据的安全,因此它会加密和校验数据。

2.从NAT的观点来看,为了完成地址转换,势必会修改IP地址。

 

        IPSec提供了端到端的IP通信的安全性,但在NAT环境下对IPSec的支持有限,AH协议是肯定不能进行NAT的了,这和AH设计的理念是相违背的;ESP协议在NAT环境下最多只能有一个×××主机能建立×××通道,无法实现多台机器同时在NAT环境下进行ESP通信(原因如下图:)

IPSec NAT-T穿越技术

 

关于IPSec在NAT环境下的需求问题在RFC3715中进行了描述。

      NAT穿越(NATTraversal,NAT-T)就是为解决这个问题而提出的,RFC3947,3948中定义,在RFC4306中也加入了NAT-T的说明,但并没废除RFC3947,3948,只是不区分阶段1和阶段2。该方法将ESP协议包封装到UDP包中(在原ESP协议的IP包头外添加新的IP头和UDP头,也被称为NAT-T头部)

使之可以在NAT环境下使用的一种方法,这样在NAT的内部网中可以有多个IPSec主机建立×××通道进行通信(原因是如下图,因为有了UDP报文的封装ESP加密的报文后,PAT模式下使用UDP端口号可以区分不同的ESP PAYLOAD:)。

 

IPSec NAT-T穿越技术

 

 

    AH封装:AH封装的校验从IP头开始,如果NAT将IP的头部改动,AH的校验就会失败,因此我们得出结论,AH是无法与NAT共存的。

IPSec NAT-T穿越技术

 

 

IPSec NAT-T穿越技术

ESP封装的传输模式:对于NAT来说,ESP封装比AH的优势在于,无论是加密还是完整性的校验,IP头部都没有被包括进去。如下图:

 

但是还是有新的问题,对于ESP的传输模式,NAT 无法更新上层校验和。因为TCP 和 UDP 报头包含一个校验和,它整合了源和目标 IP 地址和端口号的值,而源和目的IP地址和端口号在做NAT时会发生改变。

 

  当 NAT 改变了某个包的 IP 地址和(或)端口号时,它通常要更新 TCP 或 UDP 校验和。当 TCP  UDP 校验和使用了 ESP 来加密时,它就无法更新这个校验和。由于地址或端口已经被 NAT 更改,目的地的校验和检验就会失败。虽然 UDP 校验和是可选的,但是 TCP 校验和却是必需的。所以ESP的传输模式也不支持NAT穿越。

IPSec NAT-T穿越技术

     ESP封装的隧道模式:从ESP隧道模式的封装中,我们可以发现,ESP隧道模式将整个原始的IP整个进行了加密,且在ESP的头部外面新加了一层IP头部,所以NAT如果只改变最前面的新的IP地址对后面受到保护的部分是不会有影响的。因此,IPsec只有采用ESP的隧道模式来封装数据时才能与NAT共存。

 

AH模式的IPSec ×××由于完整性校验牵涉到IP头部,所以NAT无法对其修改,不兼容。

ESP的传输模式,因为TCP部分被加密,NAT无法对TCP校验和进行修改,不兼容。

ESP的隧道模式,由于NAT改动外部的IP而不能改动被加密的原始IP,使得只有这种情况下才能与NAT共存。

 

 

NAT穿越(NAT TraversalNAT-T)

      Cisco IOS的版本在12.2(13)T以后,可以支持NAT-T技术。以前NATIPsec只能以11的形式共存(非PAT的情况),NAT-T打破了这种形式(因为使用了NAT-T包头做的UDP端口区分)。而且NAT-T支持ESP的传输模式。NAT-T的基本思想:将ESP协议包封装到UDP包中(在原ESP协议的IP包头外添加新的IP头和UDP头)。使得NAT对待它就像对待一个普通的UDP包一样。而且支持ESP的传输模式。NAT-T的基本原理和执行步骤

1. 检测通信中是否存在NAT设备和对方是否支持NAT-T

2.检测对方是否支持NAT-T是通过交换vendor ID载荷来实现的,如果自身支持NAT-T,在IKE开始交互就要发送这种载荷,载荷内容是“RFC 3947”的MD5值,也就是十六进制的“4a131c81070358455c5728f20e95452f”

IPSec NAT-T穿越技术

 

 

IPSec NAT-T穿越技术

 

IPSec NAT-T穿越技术

 

IPSec NAT-T穿越技术

上面的NAT-D数据就是源IP和源端口(或者目的IP和目的端口)的组合分别计算的hash值,用于验证peer之间是否存在NAT设备,但是无法区分是PAT还是一对一的NAT

如果有NAT存在且双方都支持NAT-T,则:

IPSec NAT-T穿越技术

 

上面IKE1-2个包相互发送VID来声明自己是否支持NAT-TIKE3-4个包(MM主模式)或者2-3个包(AM主动模式)发送由源IP和源端口号,以及目的IP和目的端口组合分别计算的NAT-D负载。

如果双方判断后确实需要NAT-T技术,则在IKE5-6个包开始后面所有ISKAMP包,以及所有的ESP包,都被封装到中目的UDP4500的包中。

判定CISCO路由器是否启用NAT-T技术,可以通过show crypto ipsec sa

查看in use setting是否为Tunnel(未启用NAT-T

IPSec NAT-T穿越技术

 

如果CISCO路由器启用了NAT-T技术,则显示如下(Tunnel UDP-Encaps):

IPSec NAT-T穿越技术

判定cisco ASA防火墙是否启用了NAT-T技术,也可以通过show crypto ipsec sa:查看in use setting是否为L2L tunnel(未启用NAT-T

IPSec NAT-T穿越技术

 

如果CISCO ASA防火墙启用了NAT-T技术,则显示如下:L2L tunnel NAT-T-Encaps

IPSec NAT-T穿越技术

 

NAT-T的两端peer之间的设备(如ASA设备)的connection会显示如下:UDP 500UDP 4500两个会话(源目端口号一样),其中UDP 500IKE1-44个包,从IKE5个包开始,一直到ESP封装的数据包均封装在UDP4500中。

IPSec NAT-T穿越技术

 

拓扑图如下(SITE1SITE2之间建立了L2L ×××,Internet模拟被穿越的中间NAT网络):

IPSec NAT-T穿越技术

ASA/IOS NAT-T技术对比表(IOS只支持公有的NAT-T技术)

IPSec NAT-T穿越技术

配置方法

1.ipsec over tcp

该方法导致双方使用TCP端口通信,缺省端口是10000,只支持client方式(远程拨号×××),该技术牛B的地方是整个工作过程的ISAMPESP包均封装在TCP的某个任意端口号内,包括isakmp的前1-4UDP 500的包也被封装在TCP中,网络的穿越效果最好。缺省被禁用,打开方法:

crypto isakmp ipsec-over-tcp

如下实例,可以同时在ASA端设置多个端口号:

IPSec NAT-T穿越技术

client端的设置方式如下:

IPSec NAT-T穿越技术

 

IPSec NAT-T穿越技术

当实际环境中不常规×××通信或NAT-T,IPSEC OVER UDP的时候使用。

2.NAT-T

该方法导致双方最终使用udp 4500端口通信,支持client(远程拨号×××,L2L 两种方式。缺省是被禁用的。NAT-T的打开方法:

crypto isakmp nat-traversal 20 ,缺省keepalives时间20秒,该isakmp的NAT keeplive包的发送是为了避免在经过的PAT时候,在NAT会话表(xlate)超时(PAT类型的NAT会话表超时时间很短但大于20s)之前维持住该NAT会话表。

3.ipsec over udp

导致双方使用UDP通信,缺省端口10000只支持client方式(远程拨号×××。缺省被禁用,该技术的前4个包依然是UDP 500的封装,5-6个包开始包含

广告06

微信