Pam mae L2TP/IPsec angen UDP 1701 yn ogystal ag IPsec

Mae waliau tân sy'n caniatáu IKE ac ESP ond nad ydynt yn caniatáu UDP 1701 yn torri cysylltiadau L2TP mewn ffordd sy'n edrych fel problem â chymwysterau. Y rheswm yw bod L2TP yn ail brotocol sy'n teithio y tu mewn i'r cyntaf. Mae IPsec yn cludo ac yn dilysu'r cyfnewid, ac mae L2TP yn rhedeg ei dwnnel ei hun dros UDP 1701, y mae'n rhaid i'r stac lleol ei ddanfon o hyd. Mae gwybod ble mae pob pennawd yn ymddangos yn esbonio pa ddyfais sydd angen pa reol.

Dau brotocol, dau set o borthladdoedd

Mae cysylltiad L2TP/IPsec yn defnyddio IKE ar UDP 500, trawsdoriad NAT ar UDP 4500 lle mae cyfieithu, ac ESP fel protocol IP 50 lle nad oes. Mae L2TP ei hun yn brotocol twnnel ar UDP 1701, ac mae'n rhedeg ar ôl i IPsec ddilysu'r cymar. Mae'r ddwy ran yn methu'n wahanol, ac mae'r llinellau log sy'n adrodd amdanynt yn dod o gydrannau gwahanol. Mae set o reolau sy'n cwmpasu hanner cyntaf yn unig yn cynhyrchu cysylltiad sy'n trafod ac yna'n marw yn ystod y twnnel.

Mae rhifau porthladd yn disgrifio penau trafnidiaeth, ac nid porthladd o gwbl yw ESP. Dyna pam na all rhyngwyneb wal dân sy'n cynnig rheolau TCP ac UDP yn unig fynegi polisi IPsec cyflawn. Rhaid caniatáu protocol 50 fel protocol, ac ni fydd rheol sy'n crybwyll UDP yn unig byth yn cyfateb iddo.

Mae'r amlap yn esbonio'r porthladd

Ar y wifren, mae cysylltiad L2TP/IPsec fel arfer yn dangos IKE ar 500 ac ESP wedi'i gapsylu ar 4500. Mae pennawd UDP 1701 y tu mewn i'r llwyth a warchodir, a dyna pam nad yw cipolwg ar y rhyngwyneb allanol yn ei ddangos. Rhaid i'r lletywr lleol ddanfon y datagram hwnnw i ddemôn L2TP o hyd, ac mae'r danfoniad yn digwydd ar ôl datgapsylu. Felly mae rheol 1701 yn perthyn i wal dân y pen terfynol ei hun, hyd yn oed pan nad yw unrhyw flwch canol byth yn gweld y porthladd.

Mae trefn y prosesu yn esbonio'r rhan fwyaf o'r dryswch. Os yw'r stac yn cymhwyso polisi IPsec cyn hidlydd y lletywr, mae'r pecyn L2TP a ddatgapsylwyd yn cael ei baru fel UDP 1701; os yw'r drefn wedi'i gwrthdroi, y porthladdoedd allanol yw'r hyn y mae'r set rheolau yn ei weld. Mae'r ddau ymddygiad yn bodoli'n ymarferol, a dyna pam mae'r un set rheolau yn ymddangos yn gweithio ar un platfform ac yn methu ar un arall.

Gwiriwch y llwybr yn ei drefn

Cipiwch y rhyngwyneb allanol yn gyntaf a chadarnhewch fod IKE ac ESP wedi'i gapsylu yn symud y ddwy ffordd. Yna gwiriwch gownteri'r wal dân leol ar gyfer y traffig a ddatgapsylwyd. Mae'r drefn yn bwysig, oherwydd mae cipolwg nad yw'n dangos unrhyw beth o gwbl yn golygu bod y broblem i fyny'r afon o'r lletywr.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Mae'r cipolwg yn cadarnhau hanner cyntaf y cyfnewid ac yn dangos a yw'r cymar yn ateb. Mae'r rhestr reolau yn dangos a oes rheol 1701 ac ym mhle y mae'n sefyll o'i chymharu ag unrhyw bolisi gollwng. Mae'r rhestr socedi yn cadarnhau bod demôn L2TP wedi'i rwymo ac yn gwrando, sy'n diystyru gwasanaeth na ddechreuodd erioed. Darllenwch y tri cyn newid rheol, oherwydd mae gwrandawr coll a phorthladd wedi'i hidlo yn cynhyrchu'r un cwynion gan y defnyddiwr.

Yr hyn na all sgan porthladd ei ddangos

Nid yw sgan allanol o UDP 1701 yn erbyn gweinydd sydd wedi'i ffurfweddu'n gywir fel arfer yn adrodd dim, a dyna'r canlyniad disgwyliedig. Nid yw'r porthladd yn agored i'r rhyngrwyd; dim ond ar ôl i IPsec ddilysu'r cymar y ceir cyrraedd ato. Mae trin y canlyniad caeedig fel nam yn arwain at agor porthladd a ddylai aros ar gau. Ni all y sgan weld y tu mewn i'r twnnel mwy nag y gall weld traffig y rhaglen.

Profwch gyda chleient go iawn yn lle hynny, a darllenwch pa gam y mae'n ei gyrraedd. Os yw'r cysylltiad yn trafod ac yna'n aros, y demôn L2TP neu'r hidlydd lleol yw'r sawl a amheuir; os nad yw byth yn trafod, y porthladdoedd allanol sydd ar fai. Mae'r un rhaniad hwnnw yn dileu'r rhan fwyaf o'r dyfalu ynglŷn â pha reol i'w hychwanegu, ac mae haenu'r protocol yn ei gwneud yn ragweladwy yn hytrach nag yn ddirgel.