ESP yw protocol IP 50, nid porth TCP 50: beth i’w ganiatáu

Mae ffurflenni wal dân yn gofyn am borth TCP, a’r cofnod amlwg yw 50. Nid yw’r cofnod hwnnw’n caniatáu dim, oherwydd ESP yw rhif protocol IP 50 ac nid yw rhifau protocol yn borthoedd. Mae’r ddau fa enw yn rhannu cyfanrifau bach a dim arall, ac mae’r camgymeriad yn anweledig nes bod IKE yn gorffen ac nad yw’r traffig gwarchodedig byth yn cyrraedd.

Dau fa enw sy’n rhannu rhifau bach

Mae pennawd IP yn cario maes protocol sy’n enwi’r hyn sy’n dilyn: 6 ar gyfer TCP, 17 ar gyfer UDP, 1 ar gyfer ICMP, 50 ar gyfer ESP, 51 ar gyfer AH. Mae pennawd TCP neu UDP yn cario rhifau porth, sy’n dewis proses ar y gwesteiwr cyrchfan. Mae protocol 50 a phorth TCP 50 yn werthoedd digyswllt y gall blwch deialog eu gwneud i edrych yn gyfnewidiol.

Dyna pam na all rheol anfon porthoedd fynegi ESP brodorol. Nid oes porth cyrchfan ESP i’w anfon, ac nid oes gan ddyfais sy’n deall rheolau porth yn unig unrhyw eirfa ar gyfer y pecyn hwnnw o gwbl. Mae’r rheol gywir yn enwi’r protocol IP yn lle hynny. Mae unrhyw flwch deialog porth yn offeryn anghywir ar gyfer y pecyn hwnnw.

Mae gan y dryswch ail hanner. Pan fo’r pecyn wedi’i amgryptio, mae popeth y tu mewn iddo’n afloyw, gan gynnwys pennawd TCP y cysylltiad gwreiddiol. Mae wal dân sy’n archwilio porthoedd ar y pecyn hwnnw’n edrych ar y pennawd allanol, nad oes ganddo borthoedd i’w harchwilio yn yr achos brodorol.

ESP brodorol, yna’r dewis amgen wedi’i amgáu

Mae ESP brodorol yn cael ei gario’n uniongyrchol fel protocol IP, sy’n effeithlon ac yn anghyfleus i’r un graddau. Mae’n effeithlon oherwydd nad oes pennawd ychwanegol, ac yn anghyfleus oherwydd na all unrhyw ddyfais sy’n gwneud cyfieithu cyfeiriadau a phorthoedd ei olrhain. Mae NAT traversal yn bodoli i ddatrys hynny, drwy lapio’r pecyn ESP y tu mewn i UDP fel bod gan y cyfieithydd borthoedd i’w hailysgrifennu.

Mae’r ddwy ffurf yn ddefnyddiau amgen o’r un sianel ddata, nid haenau o un. Nid yw caniatáu ESP brodorol yn caniatáu’r ffurf amgáu, ac nid yw caniatáu UDP 4500 yn caniatáu traffig brodorol, felly rhaid i set o reolau gyd-fynd â’r defnydd yn hytrach na chwmpasu’r ddau ar ddamwain.

Mae canfod yn bwysig yma hefyd. Mae’r penawdau’n penderfynu rhwng y ffurfiau yn ystod y trafod, a’r newid fel arfer yn digwydd pan ganfyddir NAT rhyngddynt. Felly gall llwybr sy’n newid ar ôl sefydlu’r twnel symud y traffig i fa enw na chwmpasodd eich rheolau erioed.

Darllenwch ba ffurf y mae’r cysylltiad yn ei defnyddio mewn gwirionedd

Gofynnwch i’r pen draw yn hytrach na dyfalu o’r wal dân. Ar Linux mae’r cofnod cyflwr yn adrodd a yw’r gymdeithas yn defnyddio amgáu UDP a pha borthoedd sy’n rhan o hynny. Mae cipio pecynnau’n ateb yr un cwestiwn o’r wifren, ac mae’r ddau’n gyflymach na darllen set o reolau a gobeithio.

ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'

Mae’r gorchymyn cyntaf yn dangos math o amgáu pan ddefnyddir NAT traversal a dim pan nad yw. Mae’r ail yn dangos pa un o’r ddwy ffurf sy’n croesi’r rhyngwyneb mewn gwirionedd, sy’n setlo dadleuon am ffurfweddiad sy’n edrych yn gywir ar bapur.

Mae tystiolaeth wrthgyferbyniol yn perthyn i’r un cam. Mae rheol sy’n adrodd dim cyfatebiaeth yn dweud wrthych na chyrhaeddodd y pecyn hi erioed, a chwestiwn llwybro neu ddetholwr yw hwnnw, nid un wal dân.

Yna cadarnhewch y sianel reoli ar wahân. Mae gan IKE ei borthoedd a’i logiau ei hun, ac mae trafod wedi’i gwblhau heb ddata yn union y rhaniad y mae’r erthygl hon yn sôn amdano.

Ysgrifennwch y rheol yn y ma enw cywir

Mae rheol protocol a rheol porth yn gyfarwyddiadau gwahanol, felly rhaid i’r offeryn fynegi’r un rydych yn ei olygu. Yn nftables mae’r cyfatebiaeth protocol yn benodol, ac mae’r dewis amgen wedi’i amgáu yn cael ei reol UDP ei hun. Cadwch y ddwy reol yn gyfagos fel bod y pâr yn weladwy wrth adolygu.

nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } accept

Gwrthodwch ehangu’r naill reol na’r llall i wneud iawn am ddiagnosis gwael. Mae caniatáu popeth ar gyfer y protocol ESP ar bob rhyngwyneb, neu ganiatâd UDP o unrhyw le i unrhyw le, yn trwsio symptom ac yn dileu’r rheolaeth roeddech yn ceisio’i ffurfweddu. Mae’r llif cul a gefnogir bron bob amser yn ddigon unwaith y gwyddys am y ffurf.

Yn olaf, cadwch yr haenau’n syth pan fo’r twnel yn gweithio a’r cymhwysiad ddim. Mae pecynnau sy’n cyrraedd y giât yn dal i fod angen anfon ymlaen, llwybr dychwelyd a pholisi sy’n eu derbyn, ac nid oes yr un o’r rhain yn cael ei fynegi gan reol ESP. Mae’r porth coll yn esbonio methiant penodol, nid pob methiant IPsec. Cadwch y gwelliant rheol a’r archwiliad llwybro fel dau gasgliad ar wahân.

Cofnodwch y ffurf a welsoch, y rheol protocol a ychwanegoch a’r rhifydd a welsoch wedyn. Tair llinell, a gall y person nesaf wahaniaethu camgymeriad ma enw oddi wrth gamgymeriad llwybro mewn munud yn lle prynhawn.