ESP هو بروتوكول IP رقم 50، وليس منفذ TCP رقم 50: ما الذي يجب السماح به
أرقام البروتوكولات وأرقام المنافذ مساحتان اسميتان مختلفتان. قاعدة لمنفذ TCP رقم 50 لا تسمح بشيء، واجتياز NAT ينقل ESP إلى UDP 4500.
نماذج الجدار الناري تطلب منفذ TCP، والإدخال البديهي هو 50. هذا الإدخال لا يسمح بشيء، لأن ESP هو بروتوكول IP رقم 50، وأرقام البروتوكولات ليست منافذ. تشترك المساحتان الاسميتان في الأعداد الصحيحة الصغيرة ولا شيء غير ذلك، ويبقى الخطأ غير مرئي حتى تنتهي IKE ولا تصل حركة المرور المحمية أبدًا.
مساحتان اسميتان تشتركان في أعداد صغيرة
تحمل ترويسة IP حقل بروتوكول يسمّي ما يأتي بعده: 6 لـ TCP، و17 لـ UDP، و1 لـ ICMP، و50 لـ ESP، و51 لـ AH. وتحمل ترويسة TCP أو UDP أرقام منافذ تختار عملية على المضيف الهدف. البروتوكول 50 ومنفذ TCP 50 قيمتان غير مرتبطتين، لكن مربع حوار يستطيع أن يجعلهما يبدوان قابلتين للتبادل.
لهذا لا تستطيع قاعدة إعادة توجيه المنافذ التعبير عن ESP الأصلي. لا يوجد منفذ هدف لـ ESP لإعادة توجيهه، والجهاز الذي يفهم قواعد المنافذ فقط ليس لديه أي مفردات لهذه الحزمة. القاعدة الصحيحة تسمّي بروتوكول IP بدلًا من ذلك. أي مربع حوار للمنافذ هو الأداة الخاطئة لتلك الحزمة.
للارتباك نصف ثانٍ. عندما تكون الحزمة مشفّرة، يكون كل ما بداخلها معتمًا، بما في ذلك ترويسة TCP للاتصال الأصلي. والجدار الناري الذي يفحص المنافذ في تلك الحزمة ينظر إلى الترويسة الخارجية، التي لا تحتوي في الحالة الأصلية على أي منافذ لفحصها.
ESP الأصلي، ثم البديل المُغلَّف
يُحمل ESP الأصلي مباشرة كبروتوكول IP، وهو فعّال ومربك بالقدر نفسه. فعّال لأنه لا توجد ترويسة إضافية، ومربك لأن أي جهاز يقوم بترجمة العناوين والمنافذ لا يستطيع تتبعه. واجتياز NAT موجود لحل ذلك، بتغليف حزمة ESP داخل UDP حتى يحصل المترجم على منافذ يعيد كتابتها.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
الشكلان نشران بديلان لنفس قناة البيانات، وليسا طبقتين منها. السماح بـ ESP الأصلي لا يسمح بالشكل المُغلَّف، والسماح بـ UDP 4500 لا يسمح بالحركة الأصلية، لذا يجب أن تطابق مجموعة القواعد النشر بدلًا من تغطية الاثنين بالخطأ.
الاكتشاف مهم هنا أيضًا. تقرر نقاط النهاية بين الشكلين أثناء التفاوض، ويحدث التحول عادة عندما يتم اكتشاف NAT بينهما. لذلك يمكن لمسار يتغير بعد إنشاء النفق أن ينقل الحركة إلى مساحة اسمية لم تغطها قواعدك أبدًا.
اقرأ أي شكل يستخدمه الاتصال فعليًا
اسأل نقطة النهاية بدلًا من التخمين من الجدار الناري. على Linux يخبرك إدخال الحالة ما إذا كان الارتباط يستخدم تغليف UDP وأي المنافذ معنية. والتقاط الحزم يجيب على السؤال نفسه من السلك، وكلاهما أسرع من قراءة مجموعة قواعد والأمل.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'الأمر الأول يُظهر نوع تغليف عندما يكون اجتياز NAT قيد الاستخدام ولا يُظهر شيئًا عندما لا يكون. والثاني يُظهر أي الشكلين يعبر الواجهة فعلًا، وهذا يحسم الجدل حول إعداد يبدو صحيحًا على الورق.
الدليل المضاد ينتمي إلى الخطوة نفسها. القاعدة التي تبلغ عن صفر مطابقات تخبرك أن الحزمة لم تصل إليها أبدًا، وهذه مسألة توجيه أو محدِّد وليست مسألة جدار ناري.
ثم أكّد قناة التحكم بشكل منفصل. IKE له منافذه وسجلاته الخاصة، والتفاوض المكتمل بلا بيانات هو بالضبط الانفصال الذي يتناوله هذا المقال.
اكتب القاعدة في المساحة الاسمية الصحيحة
قاعدة البروتوكول وقاعدة المنفذ تعليمتان مختلفتان، لذا يجب أن تعبّر الأداة عن التي تقصدها. في nftables تكون مطابقة البروتوكول صريحة، ويحصل البديل المُغلَّف على قاعدة UDP خاصة به. أبقِ القاعدتين متجاورتين حتى يكون الزوج مرئيًا في المراجعة.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptقاوم توسيع أي من القاعدتين لتعويض تشخيص خاطئ. السماح الكامل لبروتوكول ESP على كل واجهة، أو سماح UDP من أي إلى أي، يصلح عرضًا ويزيل التحكم الذي كنت تحاول إعداده. التدفق الضيق المدعوم يكفي دائمًا تقريبًا بمجرد معرفة الشكل.
أخيرًا، أبقِ الطبقات مستقيمة عندما يعمل النفق ولا يعمل التطبيق. الحزم التي تصل إلى البوابة ما زالت تحتاج إلى إعادة توجيه ومسار عودة وسياسة تسمح بها، ولا شيء من ذلك تعبّر عنه قاعدة ESP. المنفذ المفقود يفسّر فشلًا محددًا، لا كل فشل في IPsec. أبقِ إصلاح القاعدة وفحص التوجيه استنتاجين منفصلين.
سجّل الشكل الذي لاحظته، وقاعدة البروتوكول التي أضفتها، والعداد الذي رأيته بعد ذلك. ثلاثة أسطر، ويستطيع الشخص التالي التمييز بين خطأ في المساحة الاسمية وخطأ في التوجيه في دقيقة بدلًا من بعد ظهر كامل.