ESP 50 nömrəli IP protokoludur, 50 nömrəli TCP portu deyil: nəyə icazə vermək lazımdır
Protokol nömrələri və port nömrələri fərqli ad məkanlarıdır. 50 nömrəli TCP portu üçün qayda heç nəyə icazə vermir və NAT keçidi ESP-ni UDP 4500-ə köçürür.
Firewall forması TCP portu soruşur və ilk ağıla gələn cavab 50-dir. Bu cavab heç nəyə icazə vermir, çünki ESP 50 nömrəli IP protokoludur və protokol nömrələri port deyil. İki ad məkanı yalnız kiçik tam ədədləri bölüşür, başqa heç nəyi, və səhv IKE bitənə və qorunan trafik heç vaxt gəlməyənə qədər görünməz qalır.
Kiçik ədədləri bölüşən iki ad məkanı
IP başlığında növbəti nəyin gəldiyini bildirən protokol sahəsi var: TCP üçün 6, UDP üçün 17, ICMP üçün 1, ESP üçün 50, AH üçün 51. TCP və ya UDP başlığı isə təyinat hostunda proses seçən port nömrələrini daşıyır. Protokol 50 və TCP portu 50 bir-biri ilə əlaqəsi olmayan dəyərlərdir, amma dialoq qutusu onları dəyişdirilə bilən kimi göstərə bilər.
Buna görə port yönləndirmə qaydası yerli ESP-ni ifadə edə bilmir. Yönləndiriləcək ESP təyinat portu yoxdur və yalnız port qaydalarını anlayan cihazın bu paket üçün heç bir lüğəti yoxdur. Düzgün qayda bunun əvəzinə IP protokolunu adlandırır. Hər hansı port dialoqu bu paket üçün yanlış alətdir.
Qarışıqlığın ikinci yarısı da var. Paket şifrələndikdə içindəki hər şey qeyri-şəffaf olur, o cümlədən orijinal bağlantının TCP başlığı. O paketdə portları yoxlayan firewall xarici başlığa baxır və yerli halda orada yoxlanacaq port yoxdur.
Yerli ESP, sonra inkapsulyasiya edilmiş alternativ
Yerli ESP birbaşa IP protokolu kimi daşınır və bu həm səmərəli, həm də eyni dərəcədə əlverişsizdir. Səmərəlidir, çünki əlavə başlıq yoxdur; əlverişsizdir, çünki ünvan və port çevirməsi edən hər hansı cihaz onu izləyə bilmir. NAT keçidi bunu həll etmək üçün mövcuddur: ESP paketini UDP içərisinə sarır ki, çeviricinin yenidən yazacaq portları olsun.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Bu iki forma eyni data kanalının alternativ yerləşdirmələridir, birinin qatları deyil. Yerli ESP-yə icazə vermək inkapsulyasiya edilmiş formaya icazə vermir, UDP 4500-ə icazə vermək isə yerli trafikə icazə vermir, ona görə qayda dəsti təsadüfən hər ikisini əhatə etmək əvəzinə yerləşdirməyə uyğun olmalıdır.
Aşkarlama burada da vacibdir. Son nöqtələr forması danışıqlar zamanı seçir və keçid adətən aralarında NAT aşkarlandıqda baş verir. Tünel qurulduqdan sonra dəyişən marşrut isə trafiki qaydalarınızın heç vaxt əhatə etmədiyi ad məkanına keçirə bilər.
Bağlantının əslində hansı formadan istifadə etdiyini oxuyun
Firewalldan təxmin etmək əvəzinə son nöqtədən soruşun. Linux-da vəziyyət qeydi assosiasiyanın UDP inkapsulyasiyasından istifadə edib-etmədiyini və hansı portların iştirak etdiyini bildirir. Paket tutma eyni suala kabeldən cavab verir və hər ikisi qayda dəstini oxuyub ümid etməkdən daha sürətlidir.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Birinci əmr NAT keçidi istifadə olunanda inkapsulyasiya növünü göstərir, olmayanda isə heç nə göstərmir. İkinci əmr iki formadan hansının həqiqətən interfeysdən keçdiyini göstərir və bu, kağız üzərində düzgün görünən konfiqurasiya barədə mübahisələri bitirir.
Əks sübut da həmin addıma aiddir. Sıfır uyğunluq bildirən qayda sizə paketin ora heç vaxt çatmadığını deyir və bu, firewall deyil, marşrutlaşdırma və ya selektor məsələsidir.
Sonra idarəetmə kanalını ayrıca təsdiqləyin. IKE-in öz portları və öz qeydləri var və datasız tamamlanmış danışıq məhz bu məqalənin bəhs etdiyi ayrılıqdır.
Qaydanı düzgün ad məkanında yazın
Protokol qaydası və port qaydası fərqli təlimatlardır, ona görə alət nəzərdə tutduğunuzu ifadə etməlidir. nftables-da protokol uyğunluğu açıq şəkildə yazılır və inkapsulyasiya edilmiş alternativ öz UDP qaydasını alır. İki qaydanı yan-yana saxlayın ki, cüt baxış zamanı görünsün.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptSəhv diaqnozu kompensasiya etmək üçün qaydalardan hər hansı birini genişləndirməyə çalışmayın. Hər interfeysdə ESP protokolu üçün hər şeyə icazə və ya istənilən-istənilənə UDP icazəsi simptomu düzəldir və qurmağa çalışdığınız nəzarəti aradan qaldırır. Forma bilindikdən sonra dar dəstəklənən axın demək olar ki, həmişə kifayətdir.
Nəhayət, tünel işləyəndə və tətbiq işləməyəndə qatları düzgün saxlayın. Şlüzə gələn paketlər hələ də yönləndirmə, geri marşrut və onları qəbul edən siyasət tələb edir və bunların heç biri ESP qaydası ilə ifadə olunmur. Çatışmayan port konkret bir nasazlığı izah edir, hər IPsec nasazlığını deyil. Qayda düzəlişini və marşrut yoxlamasını iki ayrı nəticə kimi saxlayın.
Müşahidə etdiyiniz formanı, əlavə etdiyiniz protokol qaydasını və sonra gördüyünüz sayğacı qeyd edin. Üç sətir və növbəti adam bir günortaya əvəzinə bir dəqiqədə ad məkanı səhvini marşrut səhvindən ayıra bilər.