Настройка прозрачного режима NAT для IPSec на концентраторе VPN 3000

Параметры загрузки

PDF (90.5 KB)
Просмотр в Adobe Reader на различных устройствах
ePub (45.4 KB)
Просмотр в различных приложениях на устройствах iPhone, iPad, Android, Sony Reader или Windows Phone
Mobi (Kindle) (66.7 KB)
Просмотр на устройстве Kindle или в приложении Kindle на нескольких устройствах

Обновлено:9 февраля 2011 года

Идентификатор документа:5753

Bias-Free Language

The documentation set for this product strives to use bias-free language. For the purposes of this documentation set, bias-free is defined as language that does not imply discrimination based on age, disability, gender, racial identity, ethnic identity, sexual orientation, socioeconomic status, and intersectionality. Exceptions may be present in the documentation due to language that is hardcoded in the user interfaces of the product software, language used based on RFP documentation, or language that is used by a referenced third-party product. Learn more about how Cisco is using Inclusive Language.

О переводе

Cisco may provide local language translations of this content in some locations. Please note that translations are provided for informational purposes only and if there is any inconsistency, the English version of the content will prevail.

Содержание

Введение
Предварительные условия
      Требования
      Используемые компоненты
      Условные обозначения
Протокол инкапсулирующей защиты содержимого
Как работает прозрачный режим NAT?
Настройка прозрачного режима NAT
      Настройка VPN-клиента Cisco VPN Client для использования прозрачного режима NAT
Дополнительные сведения

Введение

Преобразование сетевых адресов (NAT) было разработано для преодоления проблемы дефицита адресного пространства межсетевого протокола 4-й версии (IPV4). Сегодня домашние пользователи и небольшие офисные сети используют NAT как альтернативу приобретению зарегистрированных адресов. Корпорации реализуют NAT в отдельности или с межсетевым экраном для защиты своих внутренних ресурсов.

Конфигурация «многие к одному», наиболее часто реализуемое решение NAT, связывает несколько частных адресов с одним внешним маршрутизируемым адресом. Такая конфигурация также называется «преобразованием адресов портов» (PAT). Ассоциация реализуется на уровне портов. Решение PAT создает проблемы для трафика IPSec, в котором никаких портов не используется.

Предварительные условия

Требования

Для этого документа нет особых требований.

Используемые компоненты

Сведения, содержащиеся в данном документе, касаются следующих версий программного обеспечения и оборудования:

Концентратор Cisco VPN 3000
Клиент Cisco VPN 3000, выпуски 2.1.3 и выше
Клиент и концентратор Cisco VPN 3000, выпуски 3.6.1 и выше для NAT-T

Сведения, представленные в этом документе, были получены от устройств, работающих в специальной лабораторной среде. Все устройства, описанные в данном документе, были запущены с конфигурацией по умолчанию. При работе в действующей сети необходимо понимать последствия выполнения любой команды.

Условные обозначения

Подробные сведения об условных обозначениях см. в документе Условное обозначение технических терминов Cisco.

Протокол инкапсулирующей защиты содержимого

Протокол 50 (инкапсулирующая защита содержимого, ESP) обрабатывает пакеты IPSec с шифрованием/инкапсуляцией. Большинство устройств PAT не работает с ESP, поскольку они запрограммированы для работы только с протоколом управления передачей (TCP), протоколом пользовательских дейтаграмм (UDP) и межсетевым протоколом управляющих сообщений (ICMP). Кроме того, устройства PAT не позволяют привязывать несколько индексов параметров безопасности (SPI). Прозрачный режим NAT в клиенте Cisco VPN 3000 Client решает эту проблему, инкапсулируя ESP в UDP-дейтаграммы и отправляя их на согласованный порт. Имя атрибута, подлежащего активации на концентраторе VPN 3000, – IPSec through NAT (IPSec посредством NAT).

Новый протокол NAT-T, имеющий статус стандарта IEF (на момент подготовки настоящей статьи стандарт еще не утвержден в окончательной редакции), также инкапсулирует пакеты IPSec в UDP, но работает на порту 4500. Этот номер порта не настраивается.

Как работает прозрачный режим NAT?

Включение прозрачного режима IPSec на концентраторе VPN создает невидимые правила фильтра и применяет их к внешнему фильтру. Затем настроенный номер порта передается VPN-клиенту прозрачным образом при подключении VPN-клиента. На входящей стороне входящий трафик UDP с этого порта проходит непосредственно на обработку IPSec. Трафик расшифровывается и декапсулируется, после чего маршрутизируется обычным образом. На исходящей стороне IPSec зашифровывает и инкапсулирует трафик, а затем применяет заголовок UDP (при соответствующей настройке). Рабочие правила фильтра деактивируются и удалены из соответствующего фильтра при трех условиях: при отключении IPSec по UDP для группы, при удалении группы и при удалении последнего активного сеанса IPSec посредством ассоциаций безопасности UDP на этом порту. Отправляются сообщения поддержания, не позволяющие устройству NAT закрыть привязку портов по причине неактивности.

Если на концентраторе VPN включена реализация IPSec через NAT-T, то VPN-концентратор или VPN-клиент будет использовать режим инкапсуляции UDP NAT-T. NAT-T работает путем автоматического обнаружения устройств NAT между VPN-клиентом и VPN-концентратором во время согласования IKE. Для работы NAT-T необходимо следить за тем, чтобы на участке между VPN-концентратором и VPN-клиентом не был заблокирован порт UDP 4500. Кроме того, в случае использования предыдущей конфигурации IPSec/UDP, где этот порт уже задействован, необходимо перенастроить старую конфигурацию IPSec/UDP для работы по другому порту UDP. Поскольку NAT-T является проектом стандарта IETF, он должен пойти на пользу в окружениях с устройствами нескольких поставщиков, если другие поставщики реализуют этот стандарт.

В отличие от IPSec по UDP/TCP, NAT-T работает как с подключениями VPN-клиентов, так и с подключениями LAN–LAN. Кроме того, режим NAT-T поддерживается маршрутизаторами Cisco IOS® и аппаратными межсетевыми экранами PIX.

Для работы NAT-T не нужно включать IPSec по UDP.