TCP üzərində IKE 4500: port qaydasından əvvəl hər iki tərəfi yoxlayın
TCP inkapsulyasiyası hər iki tərəf tərəfindən razılaşdırılır, firewall qaydası ilə verilmir. Dinləyici yoxlamasını, tutmağı və dörd qəbul mərhələsini ardıcıllıqla aparın.
Dəstək biletləri çox vaxt firewall dəyişikliyi artıq təsdiqlənmiş, tunel isə hələ də qalxmaqdan imtina edərkən gəlir. Bu, xüsusiyyət yalnız bir tərəfdə olduqda gözlənilən nəticədir: RFC 9329 TCP inkapsulyasiyası hər iki peer-də tətbiq və konfiqurasiya olunmalıdır və razılaşma qorunan trafik hərəkət etməzdən əvvəl bağlantının içində baş verir. Port açmaq, mövcud olmaya bilən bir dinləyicini elan edir və qarşı tərəfdə uyğun konfiqurasiya olmayan dinləyici bağlantını qəbul edir və sonra susur. Aşağıdakı ardıcıllıq ucuz yoxlamaları birinci yerə qoyur.
Seçimin əslində nə əlavə etdiyini bilin
Yerli IPsec şifrələnmiş faydalı yükləri belə daşıyır: IP protokolu 50, icazə veriləcək port nömrəsi olmadan. NAT traversal həmin paketləri UDP ilə 4500 portuna bükür, buna görə də bu qədər firewall qaydası həmin portu qeyd edir. RFC 9329 axın təsviri əlavə edir: IKE və IPsec paketləri hər ikisi bir TCP bağlantısı içində, adətən 4500 portuna gedir.
Axın veb xidməti deyil. 4500-ə TCP bağlantısı HTTP, TLS və ya proksi uyğunluğu haqqında heç nə demir və yolda HTTP proksi çərçivələməni daşımaq əvəzinə adətən pozur.
Firewall-a toxunmazdan əvvəl ilkin yoxlama
Standart TCP-ni UDP yolunu atan şəbəkələr üçün ehtiyat variant kimi qoyur, onun əvəzi kimi deyil. Hər satıcıdan iki fakt alın: dəqiq xüsusiyyət adı və RFC 9329-u həyata keçirən versiya, mülki variant deyil. IPsec over TCP kimi etiketlər əlaqəsiz dizaynlar üçün istifadə olunub, ona görə sənəd istinadını və onu işə salan konfiqurasiya açarını soruşun. Hər iki cavab olmadan, naqil uyğunluğu haqqında heç nə fərz etməyin.
Bunu hər iki ucu sizin olan laboratoriyada sübut edin. TCP 4500-də cavab verən, lakin IKE-ni heç vaxt tamamlamayan şlüz, qarşı tərəfdə uyğun inkapsulyasiya olmayan dinləyicinin əlamətidir və bunu orada kəşf etmək dəyişiklik pəncərəsi zamanı kəşf etməkdən çox ucuzdur.
Cavab verən tərəfdə: dinləyici varmı
Soketdən başlayın. ss -ltnp | grep 4500 TCP dinləyicisinin olub-olmadığını və hansı prosesin ona sahib olduğunu göstərir. Sətrin olmaması araşdırmanı şəbəkədə deyil, şlüz konfiqurasiyasında bitirir.
Soket varsa, müştəri tərəfindən təxmin etmək əvəzinə əl sıxışmasını izləyin: tcpdump -ni any 'tcp port 4500'. Tamamlanmış üçtərəfli əl sıxışmasından sonra sükut, axının qəbul edildiyini və içindəki IKE mübadiləsinin uğursuz olduğunu bildirir, cavabsız SYN isə filtrləməyə və ya səhv ünvana işarə edir.
İkisini qarışdırmamaq üçün eyni tutma pəncərəsində UDP yolu ilə müqayisə edin: tcpdump -ni any 'udp port 4500 or proto 50'. TCP istifadə olunduğuna inandığınız halda protokol 50 və ya UDP 4500 portunda trafik, peer-lərin ehtiyat variant barədə heç vaxt razılaşmadığını bildirir. Mümkünsə şlüzdə də tutun, çünki müştəri tərəfindəki tutma uzaq ucun nə göndərdiyini göstərə bilməz.
Dörd ayrı mərhələdə qəbul edin
Qalxmanı dörd nəticə kimi qəbul edin. Hər biri fərqli səbəbdən uğursuz ola bilər və tək bir keçmə və ya kəsilmə hansının olduğunu gizlədir, ona görə uğursuz olan ilk mərhələdə dayanın və yuxarıdan yenidən başlayın.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Dördüncü mərhələ atlanan mərhələdir. Mövcud sessiya keşlənmiş vəziyyət üzərində işləməyə davam edə bilər, ona görə dəyişikliyi bağlamazdan əvvəl şlüzün arxasındakı hosta təzə bağlantı açın. İkinci mərhələ uğursuz olub birinci keçirsə, uyğunsuzluq təklifdə və ya inkapsulyasiya parametrindədir, firewall-da deyil.
Geri qaytarma və onu açıq saxlamağın dəyəri
Dəyişiklikdən əvvəl geri qaytarmanı planlaşdırın: inkapsulyasiya seçimini hər iki peer-də söndürün və tunelin UDP üzərindən qayıtdığını təsdiqləyin. Ehtiyat variant yenidən lazım olarsa deyə TCP qaydasını bir baxış dövrü saxlayın, sonra silin. 4500-də istifadəsiz dinləyici əməliyyat dəyəri olmayan səth sahəsidir.
Real iş daşımağa başlayanda performans əlamətinə baxın. TCP içində TCP tək itkidə dayanan təsdiq qatları əlavə edir və bir bağlantını paylaşan axınlar bir-birini bloklaya bilər, ona görə ping yerinə tuneldən istifadə edəcək tətbiqi ölçün.
Qəbul siyahısı
Hər iki ucda xüsusiyyətin adını və versiyasını, cavab verən tərəfdə dinləyicini, tamamlanmış əl sıxışmasını göstərən tutmağı və vaxt ştampları ilə qeydə alınmış dörd mərhələni təsdiqləyin. Növbəti mühəndisin TCP-nin niyə orada olduğunu bilməsi üçün dəyişiklik qeydinə ehtiyat variantın səbəbini əlavə edin. Geri qaytarmanı ehtiyac duymazdan əvvəl məşq edin.
Hər hansı mərhələ uğursuz olarsa, yalnız o mərhələni düzəldin. Nəqliyyat probleminin arxasınca şifrə dəstini və ya kimlik parametrlərini dəyişmək adətən birincinin üstünə ikinci, əlaqəsiz uğursuzluq əlavə edir.