NAT Traversal (NAT-T)

NAT Traversal (NAT-T)

Cuando creamos una IPSEC VPN, los dos tipicos protocolos de seguridad son AH o ESP. 

El problema de AH y ESP es que son protocolos basados en Capa 3 y por lo tanto carecen de información de Capa 4.

Por defecto, si uno de los "IPSEC peers" se encuentra delante un dispositivo PAT/NAT normalmente los paquetes ESP/AH se pierde por defecto.

Ahora bien, con NAT-T los "VPN IPSec peers" mediante un mecanisco dinámico detectan si hay dispositivo intermedio realizando NAT entre ellos. En el caso de detectar uno, utilizaran el puerto UDP 4500 para encapsular los paquetes ESP con el fin de poder permitir al dispositivo NAT de "traducir" y reenviar ese mismos.

Nota: En el mundo empresarial lo normal es tener una comunicación entre 2 routers/firewalls directamente sin NAT. En cambio, si quisieramos configurar una IPSEC VPN entre un host Windows (con su correspondiente dispositivo NAT delante) y un Router/Firewall/Host que este conectado INTERNET es aqui donde entra NAT-T en juego.

Comentarios

Publicar un comentario

Entradas populares de este blog

EVE-NG: Instalación de EVE-NG

Imagen
EVE-NG es un emulador de redes muy útil para crear topologias de redes de forma virtualizada. Os voy a explicar el proceso de instalación del software en base a mi experiencia Requisitos para hacer uso de EVE-NG: - Instalar VMware Workstation Player (Versión de uso personal) - Tener un buen ordenador (El mío tiene 8 GB de Ram, Intel i7 dual-core, Disco duro SSD, etc)  con suficiente espacio de almacenamiento.Yo tengo un Windows 10 professional - Tener conocimientos de Linux básicos (Crear carpetas, mover archivos, cambiar IP del sistema ,etc) - Instalar Filezilla en el PC para hacer transferencias de archivos locales hacia EVE-NG Paso 1  Descargar el OVF de EVE-NG desde la pagina oficial. Tener en cuenta que hay dos versiones: la profesional y la personal. Yo he utilizado la versión personal para ello. Paso 2 Abrir VMware workstation e abrir el archio OVF para instalar EVE-NG. Importante!!  El adaptador de red (Network adapter) esta en modo bridge. Por lo que he podido l...
Leer más

Cisco Security | Bloquear MAC address en un switch

Nos gustaría bloquear el acceso a la siguiente dirección MAC en un switch -> aaaa.1234.bbbb    Para ello hemos de configurar MAC Filtering por VLAN y lo hariamos de la siguiente manera: SW1# conf t SW1(config)# mac-address-table static aaaa.1234.bbbb vlan 10 drop SW1(config)# mac-address-table static aaaa.1234.bbbb vlan 20 drop SW1(config)# end SW 1# show mac address-table static address aaaa.1234.bbbb Unicast Entries vlan mac address type protocols port -------+---------------+--------+---------------------+-------------------- 10         aaaa.1234.bbbb static ip,ipx,assigned,other Drop 20         aaaa.1234.bbbb static ip,ipx,assigned,other Drop
Leer más

Nornir | Introducción, instalación y primer script básico

Como habéis podido observar, soy muy fan de Ansible ya que es una herramienta de network automation muy fácil de aprender y no requiere saber mucho de programación en Python para poder usarlo. Sin embargo, me he dado cuenta que Ansible tiene sus limitaciones ya que cuando ejecutamos un playbook como por ejemplo cuando queremos ejecutar show ip int brief en multiples routers y switches Cisco es un proceso un tanto lento ya que realiza cada conexión SSH secuencialmente y no a la vez con lo que imaginaros que si tenemos que gestionar cientos o miles de dispositivos de red la cantidad de segundos y minutos que tendriamos que esperar para obtener el output de nuestro playbook. Para ello, existe un nueva herramienta de automatización de redes llamada Nornir que se supone que es una especie de evolución de Ansible (hay que gente que le llama Ansible 2.0) pero que está creado puramente en Python y soluciona alguno de los problemas or limitaciones de Ansible. Algunas de estas mejoras son l...
Leer más