IKE sobre TCP 4500: comproveu els dos extrems abans de la regla de port
L'encapsulament TCP el negocien tots dos extrems, no el concedeix una regla de tallafoc. Executeu la comprovació del listener, la captura i les quatre etapes d'acceptació en ordre.
Els tiquets de suport sovint arriben amb el canvi de tallafoc ja aprovat i el túnel encara negant-se a aixecar-se. Aquest és el resultat esperat quan només un extrem té la funció: l'encapsulament TCP segons l'RFC 9329 s'ha d'implementar i configurar als dos extrems, i l'acord es produeix dins de la connexió abans que es mogui cap trànsit protegit. Obrir un port anuncia un listener que potser no existeix, i un listener sense la configuració corresponent a l'altre extrem accepta una connexió i després calla. La seqüència següent posa primer les comprovacions barates.
Sapigueu què afegeix realment l'opció
L'IPsec natiu transporta les càrregues xifrades com a protocol IP 50, sense cap número de port per permetre. El NAT traversal embolcalla aquests paquets en UDP cap al port 4500, i per això tantes regles de tallafoc esmenten aquest port. L'RFC 9329 afegeix una representació de flux: els paquets IKE i IPsec viatgen tots dos dins d'una sola connexió TCP, normalment cap al port 4500.
El flux no és un servei web. Una connexió TCP al 4500 no diu res sobre HTTP, TLS o amabilitat amb intermediaris, i un intermediari HTTP al camí normalment trencarà l'emmarcat en lloc de transportar-lo.
Comprovació prèvia abans de tocar el tallafoc
L'estàndard situa TCP com a alternativa per a xarxes que descarten el camí UDP, no com a substitut seu. Obteniu dos fets de cada proveïdor: el nom exacte de la funció i la versió que implementa l'RFC 9329 en lloc d'una variant propietària. Etiquetes com IPsec over TCP s'han fet servir per a dissenys no relacionats, així que demaneu la referència del document i la clau de configuració que l'activa. Sense les dues respostes, no assumiu res sobre la compatibilitat al cable.
Demostreu-ho en un laboratori on els dos extrems siguin vostres. Una passarel·la que respon al TCP 4500 però mai completa IKE és la signatura d'un listener sense l'encapsulament corresponent a l'altre extrem, i descobrir-ho allà és molt més barat que durant una finestra de canvi.
Al que respon: hi ha res escoltant
Comenceu pel sòcol. ss -ltnp | grep 4500 mostra si existeix un listener TCP i quin procés el posseeix. L'absència d'una línia acaba la investigació a la configuració de la passarel·la, no a la xarxa.
Si el sòcol hi és, observeu l'encaixada de mans en lloc d'endevinar des del costat del client: tcpdump -ni any 'tcp port 4500'. Una encaixada de tres vies completada seguida de silenci vol dir que el flux es va acceptar i que l'intercanvi IKE a dins va fallar, mentre que un SYN sense resposta apunta al filtratge o a l'adreça incorrecta.
Compareu amb el camí UDP a la mateixa finestra de captura perquè no es confonguin: tcpdump -ni any 'udp port 4500 or proto 50'. Trànsit al protocol 50 o al port UDP 4500 mentre creieu que s'usa TCP vol dir que els extrems mai es van posar d'acord sobre l'alternativa. Captureu també a la passarel·la si podeu, perquè una captura al costat del client no pot mostrar què va enviar l'extrem remot.
Accepteu en quatre etapes separades
Tracteu l'aixecament com quatre resultats. Cadascun pot fallar per un motiu diferent, i un sol passi o fallada amaga quin va ser, així que atureu-vos a la primera etapa que falli i torneu a començar des de dalt.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
La quarta etapa és la que es salta. Una sessió existent pot continuar funcionant amb estat en memòria cau, així que obriu una connexió nova a un ordinador darrere de la passarel·la abans de tancar el canvi. Si la segona etapa falla mentre la primera passa, el desacord és a la proposta o a la configuració d'encapsulament, no al tallafoc.
Reversió i el cost de deixar-ho activat
Planifiqueu la marxa enrere abans del canvi: desactiveu l'opció d'encapsulament als dos extrems i confirmeu que el túnel torna per UDP. Mantingueu la regla TCP un cicle de revisió per si l'alternativa torna a caldre i després retireu-la. Un listener inutilitzat al 4500 és superfície sense cap valor operatiu.
Vigileu la signatura de rendiment quan porti feina real. TCP dins de TCP afegeix capes de confirmació que s'encallen amb una sola pèrdua, i els fluxos que comparteixen una connexió es poden bloquejar entre ells, així que mesureu l'aplicació que farà servir el túnel en lloc d'un ping.
Llista d'acceptació
Confirmeu el nom i la versió de la funció als dos extrems, el listener al que respon, la captura que mostra una encaixada completa i les quatre etapes enregistrades amb marques de temps. Afegiu el motiu de l'alternativa al registre del canvi perquè el següent enginyer sàpiga per què hi ha TCP. Assageu la reversió abans de necessitar-la.
Si alguna etapa falla, repareu només aquella etapa. Canviar el conjunt de xifratge o la configuració d'identitat per perseguir un problema de transport normalment afegeix una segona fallada no relacionada damunt de la primera.