berukuran 4 bytes dengan nol yang sejajar dengan SPI field dari sebuah paket ESP.
Gambar 4.6 Format Floated IKE Header. Paket NAT keepalive digunakan untuk membuat pemetaan NAT
dengan nomor port dinamis tetap hidup.
Gambar 4.7 Format Header UDP untuk paket NAT-keepalive.
4.1.2.4 Virtual IP
Untuk menangani masalah alamat klien IPsec yang overlapping pada mode operasi tunnel dalam situasi NAT Traversal, dapat digunakan mekanisme
Virtual IP Address Alamat IP Virtual. Alamat IP virtual adalah suatu alamat IP yang digunakan oleh klien IPsec secara virtual untuk mengidentifikasi terhadap
server IPsec. Virtual IP address dapat digunakan untuk menyelesaikan masalah konflik
alamat IP overlapping oleh klien-klien IPsec. Ketika metode virtual IP digunakan, maka klien akan memesan sebuah alamat IP virtual dan kemudian server IPsec
akan mengalokasikan sebuah alamat IP virtual baginya. Data SA kemudian akan
60
berisi traffic selector alamat IP virtual dari klien IPsec tersebut. Dengan demikian, adanya alamat IP klien overlapping dapat dihindari.
Gambar 4.8 Virtual IP address Virtual IP address diperoleh melalui configuration payload CP yang
dinegosiasikan dalam proses pertukaran IKEv2. Seperti bisa dilihat pada gambar diatas, klien A dan klien B memiliki alamat IP private yang sama atau overlapping
yaitu 10.0.1.1024. Dengan mekanisme penggunaan virtual IP, Walaupun A dan B memiliki alamat IP private yang overlapping, klien A akan memiliki alamat unik
dengan virtual IP 10.10.0.1 dan klien B memiliki virtual IP 10.10.0.2. Dengan demikian, masalah dapat diselesaikan.
4.1.2.5 NAT Traversal Tunnel Mode Policy
Untuk mengatasi masalah NAT Traversal mode transport dalam situasi NAT Traversal, solusi yang dapat digunakan adalah dengan memaksakan
enforcement policy penggunaan mode enkapsulasi tunnel pada enkapsulasi UDP NAT Traversal pada konfigurasi sistem IPsec. Dengan penggunaan mode tunnel,
masalah konflik traffic descriptor tidak akan muncul karena setiap klien adalah unik dengan alamat IP yang berbeda.
Virtual IP Address via configuration payload SA1, server GW2 to A, tcp, udp-encap 4500,2501
Virtual IP=10.3.0.132 traffic selector 192.168.1.024 - 10.10.0.132
SA2, server GW2 to B, tcp, udp-encap 4500,2502 Virtual IP=10.3.0.232
traffic selector 192.168.1.024 - 10.10.0.232 IPsec
Security Gateway
.10 .10
192.168.0.030 .1
.2 .1
10.1.0.024
GW2 A
.2 .1
10.1.0.024
B NAT
NAT
L A
N
192.168.1.024
Virtual IP
61
Gambar 4.9 Policy NAT Traversal Tunnel Mode NAT Traversal Tunnel Mode dibuat dengan melakukan konfigurasi mode
tunnel pada sistem remote access berbasis perangkat lunak IKEv2 strongSwan. Seperti bisa dilihat pada gambar diatas, dengan kebijakan atau policy mode tunnel,
tidak akan ditemui masalah traffic descriptor yang overlap sehingga dengan demikian, tidak akan muncul konflik masalah NAT Traversal mode transport.
4.1.2.6 MOBIKE
