IPsec und NAT Traversal

IKE kann IPsec SAs über eine NAT-Box aushandeln. Mit dieser Fähigkeit sind Systeme in der Lage, von einem standortfernen Netzwerk aus auch dann eine sichere Verbindung herzustellen, wenn sich die Systeme hinter einem NAT-Gerät befinden. Beispiele können Mitarbeiter, die von zu Hause aus arbeiten, oder Personen, die sich von einer Konferenz-Site aus anmelden, ihren Datenverkehr mit IPsec schützen.

NAT bedeutet Network Address Translation (Netzwerk-Adresseübersetzung). Eine NAT-Box dient zum Übersetzen einer privaten internen Adresse in eine einmalige Internetadresse. NATs befinden sich häufig an öffentlichen Zugangspunkten zum Internet, z. B. in Hotels. Weitere Informationen finden Sie unter Verwenden der NAT-Funktion in IP Filter.

Die Fähigkeit, IKE zu verwenden, wenn sich ein NAT-Kasten zwischen den kommunizierenden Systemen befindet, wird als NAT Traversal oder NAT-T bezeichnet. In Release Oracle Solaris 10 weist NAT-T die folgenden Einschränkungen auf:

• NAT-T kann die Vorteile der IPsec ESP-Beschleunigung durch das Sun Crypto Accelerator 4000-Board nicht nutzen. Dennoch funktioniert die IKE-Beschleunigung mit dem Sun Crypto Accelerator 4000-Board.

• Das AH-Protokoll hängt von einem unveränderten IP-Header ab, daher kann AH nicht mit NAT-T zusammenarbeiten. Das DSP-Protokoll wird damit NAT-T zusammen verwendet.

• Die NAT-Box benötigt keine speziellen Verarbeitungsregeln. Eine NAT-Box mit speziellen IPsec-Verarbeitungsregeln zu Problemen mit der Implementierung von NAT-T führen.

• NAT-T arbeitet nur dann, wenn der IKE-Initiator das System hinter der NAT-Box ist. Ein IKE-Antwortgeber kann sich nicht hinter einer NAT-Box befinden, es sei denn, die Box wurde zum Weiterleiten von IKE-Paketen zum entsprechenden individuellen System hinter der Box programmiert.

In den folgenden RFCs sind die Funktionen der NAT und die Einschränkungen von NAT-T beschrieben. Kopien der RFCs können unter http://www.rfc-editor.org abgerufen werden.

• RFC 3022, „Traditional IP Network Address Translator (Traditional NAT),“ Januar 2001

• RFC 3715, „IPsec-Network Address Translation (NAT) Compatibility Requirements,“ März 2004

• RFC 3947, „Negotiation of NAT-Traversal in the IKE,“ Januar 2005

• RFC 3948, „UDP Encapsulation of IPsec Packets,“ Januar 2005

Informationen zum Verwenden von IPsec über ein NAT finden Sie unter Konfiguration von IKE für mobile Systeme (Übersicht der Schritte).