為什么 macOS IKEv2 客戶端通過隧道沒有得到回復？

Question

服務器：Debian 破壞者（4.19）； 強力天鵝 5.7.2

ipsec.conf

conn %default
 keyexchange=ikev2
 ike=aes256-aes128-sha256-sha1-modp3072-modp2048-modp1024
 esp=aes256-sha1-ecp256
 fragmentation=yes
 rekey=no
 compress=yes
 dpdaction=clear
 left=100.200.100.200
 leftauth=pubkey
 leftid=@mydnsname.com
 leftcert=server.pem
 leftsendcert=always
 leftsubnet=10.0.0.0/16
 leftfirewall=yes
 lefthostaccess=yes
 right=%any
 rightauth=pubkey
 rightsourceip=10.10.0.0/16
 rightdns=10.0.89.1

conn ikev2-pubkey
 auto=add

Linux 和 Windows 客戶端運行良好。 例如，我可以看到從客戶端到服務器的 ping，如下所示：

19:50:18.075816 IP me.59547 > server.4500: UDP-encap: ESP(spi=0xcbb1e4ea,seq=0x32b), length 132
19:50:18.076105 IP server.4500 > me.59547: UDP-encap: ESP(spi=0xc14e4d72,seq=0x329), length 132

隧道狀態：

ikev2-pubkey[439]: ESTABLISHED 26 minutes ago, 100.200.100.200[mydnsnmae.com]...150.160.150.160[me]
ikev2-pubkey{331}:  INSTALLED, TUNNEL, reqid 177, ESP in UDP SPIs: cbb1e4ea_i c14e4d72_o
ikev2-pubkey{331}:   10.0.0.0/16 === 10.10.0.1/32

但是對於 macOS (Catalina)，事情就另當別論了。 我已成功建立連接：

ikev2-pubkey[442]: ESTABLISHED 7 minutes ago, 100.200.100.200[mydnsnmae.com]...130.120.130.120[me-mac]
ikev2-pubkey{334}:  INSTALLED, TUNNEL, reqid 176, ESP SPIs: c6ba543e_i 03ba0a5a_o
ikev2-pubkey{334}:   10.0.0.0/16 === 10.10.0.4/32

並且只看到一種方式的數據包：

20:01:27.933739 IP 150.160.150.160 > 100.200.100.200: ESP(spi=0xc632be22,seq=0x5f), length 392
20:01:29.073710 IP 150.160.150.160 > 100.200.100.200: ESP(spi=0xc632be22,seq=0x60), length 392
20:01:29.231101 IP 150.160.150.160 > 100.200.100.200: ESP(spi=0xc632be22,seq=0x61), length 392
20:01:34.683591 IP 100.200.100.200.4500 > 150.160.150.160.4500: NONESP-encap: isakmp: child_sa  inf2
20:01:34.696358 IP 150.160.150.160.4500 > 100.200.100.200.4500: NONESP-encap: isakmp: child_sa  inf2[IR]
20:01:41.563563 IP 150.160.150.160 > 150.160.150.160: ESP(spi=0xc632be22,seq=0x62), length 136

我看到ESP in UDP SPIs:和ESP SPIs:中的 ESP 之間的區別，但不明白它的含義。

我應該檢查什么才能使 macOS VPN 客戶端正常工作？

Answer 1

這是解決方案。 macOS 的 NAT 檢測似乎存在一些問題（我嘗試了幾個不同的主機）。 所以客戶端ipsec.conf中的forceencaps=yes解決了這個問題。