IPSec NAT穿越原理

news2024/11/30 8:39:50

在IPSec VPN部署中，如果发起者位于私网内部（如下图FW_C），而它希望与FW_A之间直接建立一条IPSec隧道，这种情况下NAT会对部署IPSec VPN网络造成障碍。

PC2发业务报文给PC1，IPSec先对IP包头或端口信息进行验证，报文到达NAT设备时，IP地址或端口号会被转换，报文到达FW_A的时候，FW_A进行IPSec数据包的验证，下面分别看一下IPSec使用 AH 和 ESP 两种安全协议时报文能否通过。

AH 协议：因为 AH 对数据进行完整性检查，会对包括 IP 地址在内的整个IP 包进行Hash运算。而NAT改变 IP 地址，从而破坏 AH 的 Hash 值。因此 AH 报文无法通过 NAT 网关。
ESP 协议：ESP 对数据进行完整性检查，不包括外部的 IP 头， IP 地址转换不会破坏 ESP 的 Hash 值。但 ESP 报文中 TCP 的端口已经加密无法修改，那么NAT设备读不到端口号，不能进行正常的地址转换。

为了解决这个问题，必须在建立 IPSec 隧道的两个网关上同时开启 NAT 穿越功能（对应命令行 nat traversal）。开启 NAT 穿越功能后，当需要穿越 NAT 设备时， ESP 报文会被封装在一个 UDP 头中，源和目的端口号均是 4500。有了这个 UDP 头就可以正常进行转换。

NAT设备对于私网用户来说是不可见的，这里就有个问题，网络设备怎么知道是否有NAT的存在，什么时候该添加UDP报头，什么时候不该添加?

IPSec一般要先经过IKE协商，交互密钥之后才发送数据。NAT-T(NAT Traversal)技术在IKE协商阶段通过某种机制来发现是否有NAT的存在。有NAT存在的时候添加UDP报头，没有NAT的时候就不添加。

下面分别介绍一下采用 IKEv1 和 IKEv2 时是如何进行 NAT 穿越。

IKEv1 协商 NAT 穿越

开启 NAT 穿越时， IKEv1 协商第一阶段的前两个消息会发送标识 NAT 穿越（NAT Traversal，简称 NAT-T）能力的 Vendor ID 载荷（主模式和野蛮模式都是）。用于检查通信双方是否支持 NAT-T。

当双方都在各自的消息中包含了该载荷时，才会进行相关的 NAT-T 协商。
主模式消息 3 和消息 4（野蛮模式消息 2 和消息 3）中发送 NAT-D（NAT Discovery）载荷。NAT-D 载荷用于探测两个要建立 IPSec 隧道的网关之间是否存在 NAT 网关以及 NAT网关的位置。
通过协商双方向对端发送源和目的的 IP 地址与端口的 Hash 值，就可以检测到地址和端口在传输过程中是否发生变化。若协商双方计算出来的 Hash 值与它收到的 Hash 值一样，则表示它们之间没有 NAT。否则，则说明传输过程中对 IP 或端口进行了 NAT 转换。第一个 NAT-D 载荷为对端 IP 和端口的 Hash 值，第二个 NAT-D 载荷为本端 IP 和端口的 Hash。
发现 NAT 网关后，后续 ISAKMP 消息（主模式从消息 5、野蛮模式从消息 3 开始）的端口号转换为 4500。ISAKMP 报文标识了“Non-ESP Marker”。
在第二阶段会启用 NAT 穿越协商。在 IKE 中增加了两种 IPSec 报文封装模式：UDP 封装隧道模式报文（ UDP-Encapsulated-Tunnel ）和 UDP 封装传输模式报文（UDP-Encapsulated-Transport）。通过为 ESP 报文封装 UDP 头，当封装后的报文通过NAT 设备时， NAT 设备对该报文的外层 IP 头和增加的 UDP 头进行地址和端口号转换。UDP 报文端口号修改为 4500。

IKEv2 协商 NAT 穿越

开启 NAT 穿越后， IKE 的发起者和响应者都在 IKE_SA_INIT 消息对中包含类型为NAT_DETECTION_SOURCE_IP 和 NAT_DETECTION_DESTINATION_IP 的通知载荷。这两个通知载荷用于检测在将要建立 IPSec 隧道的两个网关之间是否存在 NAT，哪个网关位于 NAT 之后。如果接收到的 NAT_DETECTION_SOURCE 通知载荷没有匹配数据包 IP 头中的源 IP 和端口的 Hash 值，则说明对端位于 NAT 网关后面。如果接收到的AT_DETECTION_DESTINATION_IP 通知载荷没有匹配数据包 IP 头中的目的 IP 和端口的 Hash 值，则意味着本端位于 NAT 网关之后。
检测到 NAT 网关后，从 IKE_AUTH 消息对开始 ISAKMP 报文端口号改为 4500。报文标识“Non-ESP Marker”。
IKEv2 中也使用 UDP 封装 ESP 报文，当封装后的报文通过 NAT 设备时， NAT 设备对该报文的外层 IP 头和增加的 UDP 头进行地址和端口号转换。UDP 报文端口号修改为 4500。