☰

背景

tag-icon • tag-icon firewall routing nat ipsec isp
背景

背景

AT&T 商业光纤基本上是 U-Verse 家庭互联网的改版。“调制解调器”（实际上是路由器，但为了简单起见我们称之为路由器）的硬性限制是 8K 会话。即使调制解调器处于级联路由器模式（类似于其他设备中的桥接模式），调制解调器仍会跟踪 TCP 会话，并在达到限制时不允许新的会话。AT&T 的答案基本上是，当用户已经超出其小型商业计划并需要升级到企业光纤时，就会发生此问题，而企业光纤在相同速度下要贵几个数量级。对于非常小的办公室来说，这似乎很愚蠢。考虑到我在网上找到的所有关于此问题的帖子，可以追溯到 3 年前，我怀疑 AT&T 是否急于修复它。

此外，还有一些记录在案的黑客利用路由器绕过调制解调器，但我不敢向企业推荐这种不靠谱的东西。他们需要一个长期可支持的解决方案。我很惊讶没有关于 VPN 想法的讨论，所以我来了。

正在探索更换 ISP，但 ISP 选项非常有限。

问题

如果客户端提供连接到 IPSEC 站点到站点 VPN 隧道的调制解调器下游路由器，并将所有流量路由到隧道的另一端，调制解调器是否能够观察到多个会话？隧道是否会将所有流量打包在其自己建立的会话中？由于 IPSEC 的运行级别高于 TCP，每个新会话是否都是 WAN 上的新会话，只是加密了？

指向其他人描述该问题的链接

https://www.reddit.com/r/sysadmin/comments/74qu5s/isp_nat_sessions_limit/

https://medium.com/teamzerolabs/disabling-bypassing-at-t-fiber-nvg595-nat-table-limits-fedora-guide-62d5747e221a

http://solderthoughts.com/2017/06/growing-pains-att-gigabit-fiber/

答案1

IPsec 是一个协议套件，这里我们更具体地讨论的是IP 封装安全负载（特别是）隧道模式。相关详情请参阅RFC 4303，3.1.2 隧道模式处理：

在隧道模式下，“内部” IP 报头携带最终（IP）源和目标地址，而“外部” IP 报头包含 IPsec“对等体”的地址，例如安全网关的地址。

在隧道模式下，ESP 保护整个内部 IP 数据包，包括整个内部 IP 头。- - 下图说明了典型 IPv4 和 IPv6 数据包的 ESP 隧道模式定位。

        -----------------------------------------------------------
  IPv4  | new IP hdr* |     | orig IP hdr*  |   |    | ESP   | ESP|
        |(any options)| ESP | (any options) |TCP|Data|Trailer| ICV|
        -----------------------------------------------------------
                            |<--------- encryption --------->|
                      |<------------- integrity ------------>|

        ------------------------------------------------------------
  IPv6  | new* |new ext |   | orig*|orig ext |   |    | ESP   | ESP|
        |IP hdr| hdrs*  |ESP|IP hdr| hdrs *  |TCP|Data|Trailer| ICV|
        ------------------------------------------------------------
                            |<--------- encryption ---------->|
                        |<------------ integrity ------------>|

在隧道模式下，原始 IP 报头和传输层报头（不一定是 TCP）加密后，ISP 只能看到 IPsec 对等体的新 IP 报头和 ESP 报头。因此，在隧道之外，无法判断IP:port原始报头上有多少对。（虽然 TCP 确实有以 开头SYN, SYN-ACK, ACK和以 结尾的会话FIN, FIN-ACK, ACK，但 UDP“会话”只能根据两端相同的 IP 地址和 UDP 端口来猜测。因此，将 UDP 连接计为活动会话需要添加人为的连接超时。）

但是，限制并发会话数量并不是 ISP 让你为用于商业用途的连接支付更多费用的唯一方法。IPsec VPN 隧道可以被检测和阻止。由于外部 IP 报头（或 ESP 报头）未加密，例如协议号为 50（ESP）或 51（AH）的 IP 数据包，身份验证标头，RFC 4302）可以完全放弃。这方面的法律方面将是服务条款声明不允许使用站点到站点的 VPN。

答案2

如果客户端提供连接到 IPSEC 站点到站点 VPN 隧道的调制解调器下游的路由器，并将所有流量路由到隧道的另一端，调制解调器是否能够观察到多个会话？

否。两个 IPSec 端点之间的所有流量都经过加密。观察者无法看到隧道内的会话或其他任何内容。

相关内容