NAT-Traversal
- Hauptkategorie: FAQs
- Kategorie: Security
- Zuletzt aktualisiert: Donnerstag, 06. September 2012 17:38
- Veröffentlicht: Freitag, 15. September 2006 07:26
- Geschrieben von Peter Kloep
- Zugriffe: 23669
Diese Art des UDP-Tunnelns erlaubt es, daß Quellport und -adresse durch das NAT-Gerät geändert werden und keine Änderungen am ESP-Paket durchgeführt werden müssen. Wenn ein solches Paket nun am VPN Server ankommt, wird der UDP-Header entfernt und das IPSec-Paket kann ganz normal bearbeitet werden.
Der VPN Server führt eine Prüfung durch ob es sich bei ankommenden Packeten um IPSec oder IPSec NAT Traversal (Überquerung) Paket handelt. Die benötigten Parameter für IPSec NAT Traversal werden zwischen Client und Server durch das NAT Traversal Protokoll ausgehandelt. Dieser Vorgang lässt sich wie folgt beschrieben:
- VPN Server und Client tauschen eine herstellerspezifische ID (einen MD5 Hash) aus - damit bestätigen beide Seiten, daß sie NAT Traversal unterstützen
- NAT-Discovery wird durchgeführt - dabei wird festgestellt welcher Teilnehmer sich hinter einem NAT-gerät befindet. Das ist insofern wichtig, da der Partner, der sich hinter einem NAT-Gerät befindet, aller 9 Sekunden eine keep-alive Nachricht senden muß. NAT Discovery untersucht die Quell- und Zieladresse um festzustellen, welcher Partner hinter einem NAT-Device ist.
- IPSec NAT Traversal wird nun zwischen VPN Server und Client genutzt, wenn ein NAT-Gerät festgestellt wurde. Server und Client nutzen UDP-gekapselte ESP Pakete im Tunnel- oder Transportmodus.
- So gekapselte Pakete werden an den Zielport 500 gesendet. Dies ist der gleiche Port wie für das Internet Key Exchange Protocol (IKE). Der Port kann sowohl von NAT Traversal als auch nicht NAT Traversal Packeten genutzt werden. Dies funktioniert, da der Client die 8 Byte des IKE Feldes im UDP Header mit Null überschreibt und so eine Identifizierung möglich ist.
- Während der VPN-Session sendet der Client alle 9 Sekunden eine keep-alive Nachricht an den Server. Dies ist wichtig, damit die Verbindung nicht abbricht. Wenn dies passiert und eine neue Verbindung aufgebaut wird, wird ein neuer Port vergeben und die Sicherheit der Verbindung ist nicht mehr gewährleistet.