IKE dros TCP 4500: gwiriwch y ddau ben cyn y rheol porth
Mae dau ben yn negodi ymgorffori TCP, nid rheol mur tân sy'n ei ganiatáu. Rheswch y gwiriad gwrandäwr, y dal a'r pedwar cam derbyn yn eu trefn.
Mae tocynnau cymorth yn aml yn cyrraedd gyda'r newid mur tân eisoes wedi'i gymeradwyo a'r twnnel yn dal i wrthod codi. Dyma'r canlyniad disgwyliedig pan fo'r nodwedd gan un pen yn unig: rhaid gweithredu a ffurfweddu ymgorffori TCP yn ôl RFC 9329 ar y ddau ben, a'r cytundeb yn digwydd y tu mewn i'r cysylltiad cyn i unrhyw draffig gwarchodedig symud. Mae agor porth yn hysbysebu gwrandäwr na fydd efallai'n bodoli, ac mae gwrandäwr heb y ffurfweddiad cyfatebol yr ochr arall yn derbyn cysylltiad ac yna'n tewi. Mae'r dilyniant isod yn rhoi'r gwiriadau rhad yn gyntaf.
Gwybyddwch beth mae'r opsiwn yn ei ychwanegu mewn gwirionedd
Mae IPsec brodorol yn cludo llwythi defnyddiol wedi'u hamgryptio fel protocol IP 50, heb rif porth i'w ganiatáu. Mae NAT traversal yn lapio'r pecynnau hynny mewn UDP i borth 4500, a dyna pam mae cymaint o reolau mur tân yn sôn am y porth hwnnw. Mae RFC 9329 yn ychwanegu cynrychiolaeth ffrwd: mae pecynnau IKE ac IPsec ill dau yn teithio y tu mewn i un cysylltiad TCP, fel arfer i borth 4500.
Nid gwasanaeth gwe yw'r ffrwd. Nid yw cysylltiad TCP i 4500 yn dweud dim am HTTP, TLS na chyfeillgarwch dirprwy, a bydd dirprwy HTTP ar y llwybr fel arfer yn torri'r ffrâm yn hytrach na'i chludo.
Rhag-wiriad cyn i chi gyffwrdd â'r mur tân
Mae'r safon yn gosod TCP fel cwympwr yn ôl ar gyfer rhwydweithiau sy'n gollwng y llwybr UDP, nid fel disodliad ohono. Cewch ddau ffaith gan bob gwerthwr: enw union y nodwedd a'r fersiwn sy'n gweithredu RFC 9329 yn hytrach na fersiwn berchnogol. Defnyddiwyd labeli fel IPsec over TCP ar gyfer dyluniadau diberthyn, felly gofynnwch am gyfeirnod y ddogfen a'r allwedd ffurfweddu sy'n ei droi ymlaen. Heb y ddau ateb, peidiwch â chymryd dim yn ganiataol am gydnawsedd ar y weiren.
Profwch hyn mewn labordy lle mae'r ddau ben yn eiddo i chi. Mae porth sy'n ateb ar TCP 4500 ond byth yn cwblhau IKE yn arwydd o wrandäwr heb yr ymgorffori cyfatebol yr ochr arall, ac mae darganfod hynny yno yn llawer rhatach nag yn ystod ffenestr newid.
Ar yr ymatebydd: oes rhywbeth yn gwrando
Dechreuwch gyda'r soced. Mae ss -ltnp | grep 4500 yn dangos a oes gwrandäwr TCP a pha broses sy'n berchen arno. Mae absenoldeb llinell yn diweddu'r ymchwiliad yn ffurfweddiad y porth, nid yn y rhwydwaith.
Os yw'r soced yno, gwyliwch yr ysgwyd llaw yn lle dyfalu o ochr y cleient: tcpdump -ni any 'tcp port 4500'. Mae ysgwyd llaw triphlyg wedi'i gwblhau ac yna distawrwydd yn golygu bod y ffrwd wedi'i derbyn a bod y cyfnewid IKE ynddi wedi methu, tra bod SYN heb ateb yn awgrymu hidlo neu'r cyfeiriad anghywir.
Cymharwch â'r llwybr UDP yn yr un ffenestr dal fel na chaiff y ddau eu drysu: tcpdump -ni any 'udp port 4500 or proto 50'. Mae traffig ar brotocol 50 neu borth UDP 4500 tra'r ydych chi'n credu bod TCP yn cael ei ddefnyddio yn golygu na chytunodd y pennau erioed ar y cwympwr yn ôl. Dal ar y porth hefyd os gallwch, oherwydd ni all dal ar ochr y cleient ddangos beth a anfonwyd gan y pen pell.
Derbynnwch mewn pedwar cam ar wahân
Triniwch y codi fel pedwar canlyniad. Gall pob un fethu am reswm gwahanol, ac mae un pas neu feth yn cuddio pa un oedd, felly stopiwch yn y cam cyntaf sy'n methu a dechreuwch eto o'r brig.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Y pedwerydd cam yw'r un sy'n cael ei hepgor. Gall sesiwn bresennol barhau i weithio ar gyflwr a gafodd ei storio, felly agorwch gysylltiad ffres i wasanaethwr y tu ôl i'r porth cyn cau'r newid. Os yw'r ail gam yn methu tra bod y cyntaf yn pasio, mae'r anghytundeb yn y cynnig neu yn y gosodiad ymgorffori, nid yn y mur tân.
Troi'n ôl, a chost ei adael ymlaen
Cynlluniwch y dadwneud cyn y newid: diffoddwch yr opsiwn ymgorffori ar y ddau ben a chadarnhewch fod y twnnel yn dychwelyd dros UDP. Cadwch y rheol TCP am un cylch adolygu rhag ofn y bydd angen y cwympwr yn ôl eto, yna tynnwch hi. Mae gwrandäwr diangen ar 4500 yn arwynebedd heb unrhyw werth gweithredol.
Gwyliwch am y nod perfformiad unwaith y bydd yn cario gwaith go iawn. Mae TCP o fewn TCP yn ychwanegu haenau cydnabyddiaeth sy'n mygu ar un golled, a gall ffrydiau sy'n rhannu un cysylltiad rwystro ei gilydd, felly mesurwch y rhaglen a fydd yn defnyddio'r twnnel yn lle ping.
Rhestr dderbyn
Cadarnhewch enw a fersiwn y nodwedd ar y ddau ben, y gwrandäwr ar yr ymatebydd, y dal sy'n dangos ysgwyd llaw wedi'i gwblhau, a'r pedwar cam wedi'u cofnodi â stampiau amser. Ychwanegwch y rheswm dros y cwympwr yn ôl at y cofnod newid fel y bydd y peiriannydd nesaf yn gwybod pam mae TCP yno. Ymarferwch y troi'n ôl cyn i chi fod ei angen.
Os bydd unrhyw gam yn methu, trwsiwch y cam hwnnw yn unig. Mae newid y cyfres cipher neu'r gosodiadau hunaniaeth i hel trafferth cludiant fel arfer yn ychwanegu ail fethiant diberthyn ar ben y cyntaf.