IKE über TCP 4500: beide Enden vor der Portregel prüfen
TCP-Kapselung wird von beiden Enden ausgehandelt, nicht von einer Firewall-Regel gewährt. Führen Sie die Listener-Prüfung, den Mitschnitt und die vier Abnahmestufen der Reihe nach aus.
Support-Tickets kommen oft an, wenn die Firewall-Änderung bereits genehmigt ist und der Tunnel sich weiterhin weigert, hochzukommen. Das ist das erwartete Ergebnis, wenn nur ein Ende die Funktion hat: TCP-Kapselung nach RFC 9329 muss auf beiden Seiten implementiert und konfiguriert werden, und die Einigung findet innerhalb der Verbindung statt, bevor geschützter Verkehr fließen kann. Einen Port zu öffnen kündigt einen Listener an, der vielleicht nicht existiert, und ein Listener ohne passende Konfiguration auf der anderen Seite nimmt eine Verbindung an und wird dann still. Die folgende Reihenfolge stellt die billigen Prüfungen voran.
Wissen, was die Option tatsächlich hinzufügt
Native IPsec überträgt verschlüsselte Nutzlasten als IP-Protokoll 50, ohne eine Portnummer, die freigegeben werden müsste. NAT-Traversal packt diese Pakete in UDP zu Port 4500, weshalb so viele Firewall-Regeln diesen Port erwähnen. RFC 9329 fügt eine Stromdarstellung hinzu: IKE- und IPsec-Pakete reisen beide innerhalb einer TCP-Verbindung, normalerweise zu Port 4500.
Der Strom ist kein Webdienst. Eine TCP-Verbindung zu 4500 sagt nichts über HTTP, TLS oder Proxy-Verträglichkeit aus, und ein HTTP-Proxy im Pfad wird die Rahmung meist brechen statt sie zu übertragen.
Vorprüfung, bevor Sie die Firewall anfassen
Der Standard positioniert TCP als Rückfall für Netze, die den UDP-Pfad verwerfen, nicht als Ersatz dafür. Holen Sie zwei Fakten von jedem Hersteller: den genauen Funktionsnamen und die Version, die RFC 9329 implementiert, statt einer proprietären Variante. Bezeichnungen wie IPsec over TCP wurden für unabhängige Designs verwendet, fragen Sie daher nach der Dokumentreferenz und dem Konfigurationsschlüssel, der sie einschaltet. Ohne beide Antworten sollten Sie nichts über Drahtkompatibilität annehmen.
Beweisen Sie es in einem Labor, in dem beide Enden Ihnen gehören. Ein Gateway, das auf TCP 4500 antwortet, aber IKE nie abschließt, ist die Signatur eines Listeners ohne die passende Kapselung auf der anderen Seite, und das dort zu entdecken ist viel billiger als während eines Änderungsfensters.
Auf der Responder-Seite: lauscht dort etwas
Beginnen Sie mit dem Socket. ss -ltnp | grep 4500 zeigt, ob ein TCP-Listener existiert und welcher Prozess ihn besitzt. Das Fehlen einer Zeile beendet die Untersuchung bei der Gateway-Konfiguration statt beim Netzwerk.
Wenn der Socket da ist, beobachten Sie den Handshake, statt von der Client-Seite zu raten: tcpdump -ni any 'tcp port 4500'. Ein abgeschlossener Drei-Wege-Handshake, gefolgt von Stille, bedeutet, dass der Strom angenommen wurde und der IKE-Austausch darin fehlgeschlagen ist, während ein SYN ohne Antwort auf Filterung oder auf die falsche Adresse hindeutet.
Vergleichen Sie im selben Mitschnittfenster mit dem UDP-Pfad, damit die beiden nicht verwechselt werden: tcpdump -ni any 'udp port 4500 or proto 50'. Verkehr auf Protokoll 50 oder UDP-Port 4500, während Sie TCP im Einsatz glauben, bedeutet, dass sich die Enden nie auf den Rückfall geeinigt haben. Nehmen Sie nach Möglichkeit auch am Gateway auf, denn ein Mitschnitt auf der Client-Seite kann nicht zeigen, was das ferne Ende gesendet hat.
In vier getrennten Stufen abnehmen
Behandeln Sie den Aufbau als vier Ergebnisse. Jedes kann aus einem anderen Grund scheitern, und ein einzelnes Bestanden oder Fehlgeschlagen verbirgt, welches es war, also halten Sie bei der ersten fehlschlagenden Stufe an und beginnen Sie wieder von oben.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Stufe vier ist die, die übersprungen wird. Eine bestehende Sitzung arbeitet möglicherweise auf zwischengespeichertem Zustand weiter, öffnen Sie daher eine frische Verbindung zu einem Host hinter dem Gateway, bevor Sie die Änderung schließen. Wenn Stufe zwei scheitert, während Stufe eins besteht, liegt die Uneinigkeit im Vorschlag oder in der Kapselungseinstellung, nicht in der Firewall.
Rückabwicklung und die Kosten, es eingeschaltet zu lassen
Planen Sie den Rückweg vor der Änderung: Schalten Sie die Kapselungsoption an beiden Enden aus und bestätigen Sie, dass der Tunnel über UDP zurückkehrt. Behalten Sie die TCP-Regel einen Prüfzyklus lang, falls der Rückfall erneut benötigt wird, und entfernen Sie sie dann. Ein ungenutzter Listener auf 4500 ist Angriffsfläche ohne betrieblichen Wert.
Achten Sie auf die Leistungssignatur, sobald echte Arbeit darüber läuft. TCP in TCP fügt Bestätigungsschichten hinzu, die bei einem einzelnen Verlust stocken, und Ströme, die sich eine Verbindung teilen, können sich gegenseitig blockieren, messen Sie daher die Anwendung, die den Tunnel nutzen wird, statt eines Ping.
Abnahmeliste
Bestätigen Sie Funktionsname und Version an beiden Enden, den Listener auf der Responder-Seite, den Mitschnitt mit abgeschlossenem Handshake und die vier Stufen mit Zeitstempeln. Fügen Sie den Grund für den Rückfall dem Änderungsdatensatz hinzu, damit der nächste Ingenieur weiß, warum TCP dort ist. Üben Sie die Rückabwicklung, bevor Sie sie brauchen.
Wenn eine Stufe scheitert, beheben Sie nur diese Stufe. Die Cipher-Suite oder die Identitätseinstellungen zu ändern, um ein Transportproblem zu jagen, fügt meist einen zweiten, unabhängigen Fehler auf den ersten hinzu.