提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AD】源端口变化导致IPSEC VPN连接失败

|

问题描述

某客户部署了AD在网络出口,同时内网存在某厂商的VPN设备,VPN设备与其他分支的VPN设备建立标准IPSEC,查看VPN设备日志发现建立失败。

处理过程

1、需求要求保证内网VPN设备172.16.3.65走电信链路出去,并且要求转换为电信接口上指定的IP地址。

2、标准IPSEC VPN的协商过程中,用到的是UDP500端口协商,但是对端抓包发现从AD转发出去的数据包源端口UDP PORT 293,导致对端不识别。


根因

通过查看设备的连接跟踪状态发现,源端口为UDP PORT 500的已经被某条连接占用了,导致设备再次SNAT后如果发现端口别用,则会随机选择一个空闲端口,如此处的UDP PORT 293。

解决方案

查看连接正是分支主动连接AD这边的VPN设备,并且使用的源目IP都一致,加上IPSEC VPN的特殊性,固定了源端口为UDP PORT 500,导致五元组冲突,从而不得已转换为另外一个端口。
为防止冲突,只需要关闭任意一端VPN设备的主动连接即可,此处关闭了对端VPN设备的主动连接后,顺利对接上。

建议与总结

标准IPSEC VPN协商非常特殊,固定了源端口,很容易导致五元组冲突,设备的连接跟踪就是根据一个会话的五元组来记录,如果普通的协商,源端口随机则不存在类似问题。
一条软白鲨 发表于 2019-1-5 09:21
  
感谢分享,认真学习。
罗云辉 发表于 2023-6-13 23:30
  
udp端口被某条链接给占用了,能具体讲一下分支主动链接AD这边的VPN设备怎么占用的udp500端口的???

我要分享
文档编号: 52192
作者: sangfor_2134
更新时间: 2018-08-15 15:16
适用版本: