Mae IKEv2 yn defnyddio UDP 500 a 4500: pa un sy'n cario'r data?

Mae agor UDP 500 yn y mur tân yn caniatáu i'r tiwnel drafod, ac yna mae'r cysylltiad yn stopio pasio traffig. Roedd y rhestr porthau yn anghyflawn, nid yn anghywir. Mae IKEv2 yn dechrau ar un soced ac, mewn llawer o ddefnyddiau go iawn, yn parhau ar soced arall, tra nad yw'r llwyth o reidrwydd yn borth o gwbl. Mae darllen y camau yn eu trefn yn egluro pa reol sydd ar goll.

Dau borth, dau swydd

Mae IKEv2 yn dechrau gyda chyfnewid allweddi ar UDP 500, lle mae'r partneriaid yn dilysu ac yn sefydlu cymdeithas diogelwch ar gyfer y tiwnel. Mae'r llwybr data sy'n dilyn yn fater ar wahân: gall fod yn ESP brodorol, sef rhif protocol IP yn hytrach na phorth, neu'n draffig wedi'i guro y tu mewn i UDP ar 4500. Cadw'r rhain ar wahân mewn adolygiad mur tân yw'r gwahaniaeth rhwng tiwnel sy'n trafod a thiwnel sy'n gweithio. Mae un soced yn cario rheolaeth a'r llall yn cario'r llwyth.

Dyna pam mae rheol sy'n caniatáu 500 yn unig yn cynhyrchu'r symptom mwyaf dryslyd yn y teulu protocol cyfan: mae trafodaeth yn llwyddo ac nid oes dim defnyddiol yn dilyn. Mae'r cyflwr yn dangos partner, mae'r log yn dangos IKE SA sefydledig, ac mae'r cymhwysiad yn dal i amseru allan. Mae'r caniatâd sydd ar goll yn perthyn i fflŵ gwahanol i'r un a lwyddodd eiliad yn ôl.

Pam mae 4500 yn bodoli o gwbl

Ni all llawer o ddyfeisiau NAT anfon protocol heblaw TCP neu UDP, ac mae rhai yn ailysgrifennu cyfeiriadau mewn ffyrdd sy'n torri gwiriad cyfanrwydd ESP. Mae cwrio ESP y tu mewn i UDP yn datrys y ddau broblem, ar gost pennawd ychwanegol a phorth ail y mae angen ei ganiatáu. Y cwrio hwnnw yw'r rheswm mae'r ail borth yn bodoli o gwbl.

Unwaith y canfyddir NAT, mae IKE ei hun hefyd yn symud i 4500 fel bod yr holl draffig yn rhannu un llwybr drwy'r cyfieithydd. Mae marciwr pedair beit nad yw'n ESP yn gwahaniaethu negeseuon rheoli oddi wrth ddata ar y soced hwnnw. Penderfyniad protocol yw'r newid, nid dewis gweinyddwr.

Ble mae'r porth ffynhonnell yn newid

Gall cyfieithydd ailysgrifennu porth ffynhonnell y cleient, felly nid yw'r tuple a welir ar y gweinydd yn cyfateb i'r tuple ar y cleient. Edrychwch ar ddwy ochr pob naid NAT cyn dod i'r casgliad bod rheol yn cael ei hanwybyddu. Gall datrys problemau ar y cleient yn unig gynhyrchu rheol sy'n edrych yn gywir ac yn methu o hyd.

Gall gweithrediadau sy'n cefnogi MOBIKE symud i 4500 heb ganfod NAT, ac mae rhai defnyddiau'n gorfodi'r llwybr hwnnw'n fwriadol. Felly mae gweld 4500 yn dystiolaeth o benderfyniad, nid yn brawf o rwter cartref.

Gwirio'r ddau fflŵ ar bob ffin

Cerddwch drwy'r tair ffin: rhwydwaith y cleient, unrhyw fur tân canolraddol, a'r gweinydd. Mae angen y fflŵs y mae'r defnydd yn eu dogfennu ar bob un, nid y fflŵs o erthygl am achos arall.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Mae llinell ESP mewn rhestr mur tân yn gyfatebiaeth protocol, felly nid yw rheol porth byth yn ei chwmpasu. Os yw'r gweithredwr yn defnyddio porth addasedig, dilynwch y ffurfweddiad dogfennedig ar y ddau ben, oherwydd ni all cleient greu gwrandäwr ar y gweinydd drwy ddewis rhif cyfarwydd.

Cofnodwch ble y stopiodd y drafodaeth ac a osodwyd cymdeithas diogelwch blentyn, oherwydd mae'r pâr hwnnw'n gwahanu llwybr wedi'i rwystro oddi wrth wall dilysu neu bolisi. Yna ailadroddwch y prawf gyda dilysu gweinydd wedi'i alluogi, oherwydd nid yw cyrhaeddiad yn ddilysiad. Mae'r cam olaf hwnnw'n gwahanu porth a ganiateir oddi wrth bartner y gellir ymddiried ynddo.