IKEv2 UDP 500 və 4500-dən istifadə edir: hansı məlumat daşıyır?

Firewall-da UDP 500 portunu açmaq tunelin razılaşmasını təmin edir, sonra isə bağlantı trafiki ötürməyi dayandırır. Port siyahısı səhv deyil, natamam idi. IKEv2 bir soketdə başlayır və bir çox real quraşdırmada digərində davam edir, yük isə ümumiyyətlə port olmaya bilər. Mərhələləri ardıcıllıqla oxumaq hansı qaydanın çatışmadığını izah edir.

İki port, iki vəzifə

IKEv2 UDP 500 üzərində açar mübadiləsi ilə başlayır; burada tərəflər autentifikasiya olunur və tunel üçün təhlükəsizlik assosiasiyası qurur. Sonrakı məlumat yolu ayrı məsələdir: bu, port deyil, IP protokol nömrəsi olan native ESP, ya da 4500 üzərində UDP ilə qablaşdırılmış trafik ola bilər. Bunları firewall baxışında ayırmaq, razılaşan tunel ilə işləyən tunel arasındakı fərqdir. Bir soket idarəetməni, digəri isə yükü daşıyır.

Buna görə yalnız 500-ə icazə verən qayda bütün protokol ailəsində ən çaşdırıcı simptomu yaradır: razılaşma uğurlu olur və faydalı heç nə baş vermir. Vəziyyət bir tərəf göstərir, jurnal qurulmuş IKE SA göstərir, tətbiq isə yenə vaxt aşımına düşür. Çatışmayan icazə, indicə uğurlu olan axından fərqli bir axına aiddir.

4500 ümumiyyətlə niyə mövcuddur

Bir çox NAT cihazı TCP və ya UDP-dən başqa protokolu ötürə bilmir, bəziləri isə ünvanları ESP-nin bütövlük yoxlamasını pozan şəkildə yenidən yazır. ESP-ni UDP içində qablaşdırmaq hər iki problemi həll edir, bunun müqabilində əlavə başlıq və icazə verilməli ikinci port tələb olunur. Bu qablaşdırma ikinci portun ümumiyyətlə mövcud olmasının səbəbidir.

NAT aşkar edildikdən sonra IKE özü də 4500-ə keçir ki, bütün trafik tərcüməçidən keçən bir yolu paylaşsın. Dörd baytlıq, ESP olmayan marker həmin soketdə idarəetmə mesajlarını məlumatdan ayırır. Bu keçid protokol qərarıdır, administrator seçimi deyil.

Mənbə portu harada dəyişir

Tərcüməçi müştərinin mənbə portunu yenidən yaza bilər, buna görə serverdə görünən dəst müştəridəki dəstlə uyğun gəlmir. Qaydanın göz ardı edildiyi qənaətinə gəlməzdən əvvəl hər NAT addımının iki tərəfinə baxın. Yalnız müştəridə axtarış düzgün görünən və yenə də uğursuz olan qayda yarada bilər.

MOBIKE dəstəkli tətbiqlər NAT aşkar edilmədən də 4500-ə keçə bilər, bəzi quraşdırmalar isə bu yolu qəsdən məcburi edir. Buna görə 4500-ü görmək qərarın sübutudur, ev marşrutlaşdırıcısının sübutu deyil.

Hər sərhəddə iki axını yoxlayın

Üç sərhədi gəzin: müştəri şəbəkəsi, hər hansı aralıq firewall və server. Hər biri quraşdırmanın sənədləşdirdiyi axınları tələb edir, başqa bir hal haqqında yazıdakı axınları deyil.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Firewall siyahısındakı ESP sətri protokol uyğunluğudur, ona görə port qaydası heç vaxt onu əhatə etmir. Operator fərdi port istifadə edirsə, hər iki tərəfdə sənədləşdirilmiş konfiqurasiyaya əməl edin, çünki müştəri tanış nömrə seçməklə serverdə dinləyici yarada bilməz.

Razılaşmanın harada dayandığını və uşaq təhlükəsizlik assosiasiyasının qurulub-qurulmadığını qeyd edin, çünki bu cüt bloklanmış yolu autentifikasiya və ya siyasət xətasından ayırır. Sonra server yoxlaması aktiv olmaqla testi təkrarlayın, çünki əlaqə imkanı autentifikasiya deyil. Bu son addım icazə verilmiş portu etibarlı tərəfdən ayırır.