يستخدم IKEv2 المنفذين UDP 500 و4500: أيهما يحمل البيانات؟

فتح UDP 500 في الجدار الناري يجعل النفق يتفاوض، ثم تتوقف الاتصال عن تمرير حركة البيانات. كانت قائمة المنافذ ناقصة لا خاطئة. يبدأ IKEv2 على مقبس واحد، وفي كثير من عمليات النشر الحقيقية يستمر على مقبس آخر، بينما قد لا تكون الحمولة منفذًا على الإطلاق. قراءة المراحل بالترتيب توضح القاعدة الناقصة.

منفذان، وظيفتان

يبدأ IKEv2 بتبادل مفاتيح على UDP 500، حيث يتحقق الطرفان ويقيمان ارتباط أمان للنفق. مسار البيانات الذي يليه أمر منفصل: قد يكون ESP الأصلي، وهو رقم بروتوكول IP لا منفذ، أو حركة مغلّفة داخل UDP على 4500. الفصل بينهما في مراجعة الجدار الناري هو الفرق بين نفق يتفاوض ونفق يعمل. مقبس واحد يحمل التحكم والآخر يحمل الحمولة.

لهذا تُنتج قاعدة تسمح بـ 500 وحده أكثر الأعراض إرباكًا في عائلة البروتوكولات كلها: تنجح المفاوضة ولا يتبعها شيء مفيد. تُظهر الحالة طرفًا، ويُظهر السجل ارتباط IKE SA قائمًا، ومع ذلك تنتهي مهلة التطبيق. الإذن الناقص ينتمي إلى تدفق مختلف عن الذي نجح للتو.

لماذا يوجد 4500 أصلًا

كثير من أجهزة NAT لا تستطيع تمرير بروتوكول غير TCP أو UDP، وبعضها يعيد كتابة العناوين بطرق تكسر فحص سلامة ESP. تغليف ESP داخل UDP يحل المشكلتين، بتكلفة رأس إضافي ومنفذ ثانٍ يجب السماح به. هذا التغليف هو سبب وجود المنفذ الثاني أصلًا.

بمجرد اكتشاف NAT، ينتقل IKE نفسه أيضًا إلى 4500 كي تشترك كل الحركة في مسار واحد عبر المترجم. تميّز علامة بأربعة بايتات ليست ESP رسائل التحكم عن البيانات على ذلك المقبس. التحويل قرار بروتوكول لا تفضيل مدير.

أين يتغير منفذ المصدر

قد يعيد المترجم كتابة منفذ المصدر لدى العميل، لذا لا تطابق المجموعة المرئية عند الخادم المجموعة على العميل. انظر إلى طرفي كل قفزة NAT قبل أن تستنتج أن قاعدة ما تُتجاهل. تشخيص العميل وحده قد ينتج قاعدة تبدو صحيحة وتفشل مع ذلك.

يمكن للتطبيقات الداعمة لـ MOBIKE الانتقال أيضًا إلى 4500 دون اكتشاف NAT، وبعض عمليات النشر تفرض ذلك المسار عمدًا. لذا فإن رؤية 4500 دليل على قرار، لا إثبات وجود موجه منزلي.

افحص التدفقين عند كل حد

امشِ عبر الحدود الثلاثة: شبكة العميل، وأي جدار ناري وسيط، والخادم. يحتاج كل منها إلى التدفقات التي توثقها عملية النشر، لا التدفقات الواردة في منشور عن حالة أخرى.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

سطر ESP في قائمة الجدار الناري مطابقة بروتوكول، لذا لا تغطيه قاعدة منفذ أبدًا. إذا استخدم المشغل منفذًا مخصصًا، فاتبع التكوين الموثق على الطرفين، لأن العميل لا يستطيع إنشاء مستمع على الخادم باختيار رقم مألوف.

سجّل أين توقفت المفاوضة وما إذا كان قد ثُبّت ارتباط أمان فرعي، لأن هذا الزوج يفصل المسار المحجوب عن خطأ في المصادقة أو السياسة. ثم أعد الاختبار مع تمكين تحقق الخادم، لأن الوصول ليس مصادقة. تلك الخطوة الأخيرة تفصل المنفذ المسموح به عن الطرف الموثوق.