RFC: 3715
Оригинал: IPsec-Network Address Translation (NAT) Compatibility Requirements
Категория: Информационный
Дата публикации:
Авторы: ,
Перевод: Мельников Дмитрий Анатольевич

2.3. Дополнительные («вспомогательные») проблемы

К этой категории проблем относятся следующие проблемы:

  1. Контроль заголовка ISAKMP-сообщения (Internet Security Association and Key Management Protocol — протокол управления защищенными виртуальными соединениями и обменом ключевой информации в Internet, RFC-2408). В настоящее время, некоторые NA(P)T-модули допускают применение специализированных IKE-меток («cookies») для демультиплексирования входящего IKE-трафика. При демультиплексировании IKE-трафика на основе специализированных меток, как и при демультиплексировании на основе номера транспортного порта источника сообщения, могут возникнуть проблемы, связанные с процедурой обновления ключевой информации, так как в первой фазе это процедуры обычно не используются идентификаторы, использовавшиеся в предыдущем трафике.

  2. Применение специализированного номера порта транспортного уровня («500»). Так как некоторые прикладные программные IKE-модули не способны обрабатывать трафик, в котором указан намер UDP-порт источника сообщения, отличный от «500», некоторые NA(P)T-модули не преобразуют IP-пакеты, содержащие UDP-порт источника сообщения с номером «500». Это означает, что функциональность таких NA(P)T-модулей ограничена, то есть они могут обслуживать одновременно только одного, а не несколько IPsec-пользователей, связывающихся с конкретным IPsec-шлюзом (одиночное SA-соединение), за исключением ситуации, когда они контролируют заголовок ISAKMP-сообщения с целью проверки специализированных меток (идентификаторов). Однако, последнее может повлечь проблемы, рассмотренные выше.

  3. Контроль поля полезной нагрузки ISAKMP-сообщения. NA(P)T-модули, которые способны анализировать поля полезной нагрузки ISAKMP-сообщения, не могут «корректно воспринимать» синтаксис всех специфических элементов (субполей) поля полезной нагрузки, или способны «воспринимать» только специфические идентификаторы фирмы-производителя программного обеспечения («vendor_id») впериод проведения IKE-процедуры согласования параметров.

2007 - 2017 © Русские переводы RFC, IETF, ISOC.