IKE πάνω από TCP 4500: ελέγξτε και τα δύο άκρα πριν από τον κανόνα θύρας
Η ενθυλάκωση TCP διαπραγματεύεται από τα δύο άκρα, δεν την παραχωρεί κανόνας τείχους προστασίας. Εκτελέστε τον έλεγχο ακροατή, τη σύλληψη και τα τέσσερα στάδια αποδοχής με τη σειρά.
Τα δελτία υποστήριξης φτάνουν συχνά με την αλλαγή του τείχους προστασίας ήδη εγκεκριμένη και το τούνελ να αρνείται ακόμη να σηκωθεί. Αυτό είναι το αναμενόμενο αποτέλεσμα όταν μόνο το ένα άκρο έχει τη δυνατότητα: η ενθυλάκωση TCP κατά RFC 9329 πρέπει να υλοποιηθεί και να ρυθμιστεί και στα δύο άκρα, και η συμφωνία γίνεται μέσα στη σύνδεση πριν κινηθεί οποιαδήποτε προστατευμένη κίνηση. Το άνοιγμα μιας θύρας διαφημίζει έναν ακροατή που μπορεί να μην υπάρχει, και ένας ακροατής χωρίς την αντίστοιχη ρύθμιση στην άλλη πλευρά δέχεται μια σύνδεση και μετά σωπαίνει. Η ακολουθία παρακάτω βάζει πρώτους τους φθηνούς ελέγχους.
Μάθετε τι προσθέτει πραγματικά η επιλογή
Το εγγενές IPsec μεταφέρει κρυπτογραφημένα ωφέλιμα φορτία ως πρωτόκολλο IP 50, χωρίς αριθμό θύρας που πρέπει να επιτραπεί. Το NAT traversal τυλίγει αυτά τα πακέτα σε UDP στη θύρα 4500, γι' αυτό τόσοι κανόνες τείχους προστασίας αναφέρουν αυτή τη θύρα. Το RFC 9329 προσθέτει αναπαράσταση ροής: τα πακέτα IKE και IPsec ταξιδεύουν και τα δύο μέσα σε μία σύνδεση TCP, συνήθως στη θύρα 4500.
Η ροή δεν είναι υπηρεσία ιστού. Μια σύνδεση TCP στη θύρα 4500 δεν λέει τίποτα για HTTP, TLS ή φιλικότητα προς διαμεσολαβητή, και ένας διαμεσολαβητής HTTP στη διαδρομή συνήθως θα σπάσει την πλαισίωση αντί να τη μεταφέρει.
Προέλεγχος πριν αγγίξετε το τείχος προστασίας
Το πρότυπο τοποθετεί το TCP ως εφεδρική λύση για δίκτυα που ρίχνουν τη διαδρομή UDP, όχι ως αντικατάστασή της. Πάρτε δύο στοιχεία από κάθε προμηθευτή: το ακριβές όνομα της δυνατότητας και την έκδοση που υλοποιεί το RFC 9329 αντί για μια ιδιόκτητη παραλλαγή. Ετικέτες όπως IPsec over TCP έχουν χρησιμοποιηθεί για άσχετα σχέδια, γι' αυτό ζητήστε την αναφορά εγγράφου και το κλειδί ρύθμισης που την ενεργοποιεί. Χωρίς και τις δύο απαντήσεις, μην υποθέσετε τίποτα για τη συμβατότητα στο καλώδιο.
Αποδείξτε το σε εργαστήριο όπου και τα δύο άκρα είναι δικά σας. Μια πύλη που απαντά στο TCP 4500 αλλά δεν ολοκληρώνει ποτέ το IKE είναι το σημάδι ενός ακροατή χωρίς την αντίστοιχη ενθυλάκωση στην άλλη πλευρά, και το να το ανακαλύψετε εκεί είναι πολύ φθηνότερο από ό,τι κατά τη διάρκεια ενός παραθύρου αλλαγής.
Στον αποκριτή: ακούει κάτι
Ξεκινήστε από τον υποδοχέα. Το ss -ltnp | grep 4500 δείχνει αν υπάρχει ακροατής TCP και ποια διεργασία τον κατέχει. Η απουσία γραμμής τελειώνει την έρευνα στη ρύθμιση της πύλης και όχι στο δίκτυο.
Αν ο υποδοχέας υπάρχει, παρακολουθήστε τη χειραψία αντί να μαντεύετε από την πλευρά του πελάτη: tcpdump -ni any 'tcp port 4500'. Μια ολοκληρωμένη τριμερής χειραψία που ακολουθείται από σιωπή σημαίνει ότι η ροή έγινε δεκτή και η ανταλλαγή IKE μέσα της απέτυχε, ενώ ένα SYN χωρίς απάντηση δείχνει φιλτράρισμα ή λάθος διεύθυνση.
Συγκρίνετε με τη διαδρομή UDP στο ίδιο παράθυρο σύλληψης ώστε τα δύο να μην μπερδευτούν: tcpdump -ni any 'udp port 4500 or proto 50'. Κίνηση στο πρωτόκολλο 50 ή στη θύρα UDP 4500 ενώ πιστεύετε ότι χρησιμοποιείται TCP σημαίνει ότι τα άκρα δεν συμφώνησαν ποτέ για την εφεδρεία. Συλλάβετε και στην πύλη αν μπορείτε, γιατί μια σύλληψη από την πλευρά του πελάτη δεν μπορεί να δείξει τι έστειλε το απομακρυσμένο άκρο.
Αποδεχτείτε σε τέσσερα ξεχωριστά στάδια
Αντιμετωπίστε το σήκωμα ως τέσσερα αποτελέσματα. Κάθε ένα μπορεί να αποτύχει για διαφορετικό λόγο, και ένα μόνο πέρασε ή απέτυχε κρύβει ποιο ήταν, οπότε σταματήστε στο πρώτο στάδιο που αποτυγχάνει και ξεκινήστε πάλι από την αρχή.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Το τέταρτο στάδιο είναι αυτό που παραλείπεται. Μια υπάρχουσα συνεδρία μπορεί να συνεχίσει να λειτουργεί σε αποθηκευμένη κατάσταση, οπότε ανοίξτε μια νέα σύνδεση σε κεντρικό υπολογιστή πίσω από την πύλη πριν κλείσετε την αλλαγή. Αν το δεύτερο στάδιο αποτύχει ενώ το πρώτο περνά, η διαφωνία βρίσκεται στην πρόταση ή στη ρύθμιση ενθυλάκωσης, όχι στο τείχος προστασίας.
Επαναφορά και το κόστος του να το αφήσεις ανοιχτό
Σχεδιάστε την αναίρεση πριν από την αλλαγή: απενεργοποιήστε την επιλογή ενθυλάκωσης και στα δύο άκρα και επιβεβαιώστε ότι το τούνελ επιστρέφει μέσω UDP. Κρατήστε τον κανόνα TCP για έναν κύκλο αναθεώρησης σε περίπτωση που χρειαστεί ξανά η εφεδρεία και μετά αφαιρέστε τον. Ένας αχρησιμοποίητος ακροατής στη θύρα 4500 είναι επιφάνεια χωρίς καμία επιχειρησιακή αξία.
Προσέξτε το σημάδι απόδοσης μόλις μεταφέρει πραγματική δουλειά. Το TCP μέσα σε TCP προσθέτει στρώματα επιβεβαίωσης που κολλάνε σε μία μόνο απώλεια, και ροές που μοιράζονται μία σύνδεση μπορούν να μπλοκάρουν η μία την άλλη, οπότε μετρήστε την εφαρμογή που θα χρησιμοποιήσει το τούνελ αντί για ping.
Λίστα αποδοχής
Επιβεβαιώστε το όνομα και την έκδοση της δυνατότητας και στα δύο άκρα, τον ακροατή στον αποκριτή, τη σύλληψη που δείχνει ολοκληρωμένη χειραψία και τα τέσσερα στάδια καταγεγραμμένα με χρονικές σημάνσεις. Προσθέστε τον λόγο της εφεδρείας στο αρχείο αλλαγής ώστε ο επόμενος μηχανικός να ξέρει γιατί υπάρχει TCP. Εξασκηθείτε στην επαναφορά πριν τη χρειαστείτε.
Αν οποιοδήποτε στάδιο αποτύχει, διορθώστε μόνο εκείνο το στάδιο. Η αλλαγή της σουίτας κρυπτογράφησης ή των ρυθμίσεων ταυτότητας για να κυνηγήσετε πρόβλημα μεταφοράς προσθέτει συνήθως μια δεύτερη, άσχετη αποτυχία πάνω στην πρώτη.