ESP estas IP-protokolo 50, ne TCP-pordo 50: kion permesi

Fajroŝirmilaj formularoj petas TCP-pordon, kaj la evidenta enskribo estas 50. Tiu enskribo permesas nenion, ĉar ESP estas IP-protokolo numero 50 kaj protokolaj numeroj ne estas pordoj. La du nomspacoj kunhavas malgrandajn entjerojn kaj nenion alian, kaj la eraro restas nevidebla ĝis IKE finiĝas kaj la protektita trafiko neniam alvenas.

Du nomspacoj, kiuj kunhavas malgrandajn numerojn

IP-kapo portas protokolan kampon, kiu nomas tion, kio sekvas: 6 por TCP, 17 por UDP, 1 por ICMP, 50 por ESP, 51 por AH. TCP- aŭ UDP-kapo portas pordajn numerojn, kiuj elektas procezon sur la celloka gastiganto. Protokolo 50 kaj TCP-pordo 50 estas sensrilataj valoroj, sed dialogfenestro povas igi ilin ŝajni interŝanĝeblaj.

Tial pordadmaniera regulo ne povas esprimi denaskan ESP. Mankas ESP-cela pordo por plusendi, kaj aparato, kiu komprenas nur pordajn regulojn, tute ne havas vortaron por tiu paketo. La ĝusta regulo anstataŭe nomas la IP-protokolon. Ĉiu porda dialogo estas la malĝusta ilo por tiu paketo.

La konfuzo havas duan duonon. Kiam la paketo estas ĉifrita, ĉio interne estas maldiafana, inkluzive de la TCP-kapo de la origina konekto. Fajroŝirmilo, kiu inspektas pordojn en tiu paketo, rigardas la eksteran kapon, kiu en la denaska kazo havas neniujn pordojn por inspekti.

Denaska ESP, poste la enkapsuligita alternativo

Denaska ESP estas portata rekte kiel IP-protokolo, kio estas same efika kiel malkomforta. Ĝi estas efika ĉar mankas plia kapo, kaj malkomforta ĉar neniu aparato, kiu tradukas adresojn kaj pordojn, povas spuri ĝin. NAT-trairo ekzistas por solvi tion, volvante la ESP-paketon en UDP, por ke la tradukilo havu pordojn por reskribi.

La du formoj estas alternativaj deplojoj de la sama datena kanalo, ne tavoloj de unu. Permesi denaskan ESP ne permesas la enkapsuligitan formon, kaj permesi UDP 4500 ne permesas denaskan trafikon, do regularo devas kongrui kun la deplojo anstataŭ hazarde kovri ambaŭ.

Detekto gravas ankaŭ ĉi tie. La finpunktoj decidas inter la formoj dum la intertraktado, kaj la ŝanĝo kutime okazas, kiam NAT estas detektita inter ili. Vojo, kiu ŝanĝiĝas post kiam la tunelo estas starigita, povas do movi la trafikon en nomspacon, kiun viaj reguloj neniam kovris.

Legu, kiun formon la konekto efektive uzas

Demandu la finpunkton anstataŭ diveni el la fajroŝirmilo. En Linukso la statenskribo raportas, ĉu la asocio uzas UDP-enkapsuligon kaj kiuj pordoj estas engaĝitaj. Paketkapto respondas la saman demandon el la drato, kaj ambaŭ pli rapidas ol legi regularon kaj esperi.

ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'

La unua komando montras enkapsuligan tipon kiam NAT-trairo estas uzata kaj nenion kiam ne. La dua montras, kiu el la du formoj efektive trapasas la interfacon, kaj tio finas diskutojn pri agordo, kiu aspektas ĝuste sur papero.

Kontraŭaj pruvoj apartenas al la sama paŝo. Regulo, kiu raportas nulan kongruon, diras al vi, ke la paketo neniam atingis ĝin, kaj tio estas demando pri enkursigado aŭ selektilo, ne pri fajroŝirmilo.

Poste konfirmu la regan kanalon aparte. IKE havas siajn proprajn pordojn kaj siajn proprajn protokolojn, kaj finita intertraktado sen datenoj estas ĝuste la divido, pri kiu temas ĉi tiu artikolo.

Skribu la regulon en la ĝusta nomspaco

Protokola regulo kaj porda regulo estas malsamaj instrukcioj, do la ilo devas esprimi tiun, kiun vi celas. En nftables la protokola kongruo estas eksplicita, kaj la enkapsuligita alternativo ricevas sian propran UDP-regulon. Tenu la du regulojn apude, por ke la paro estu videbla dum revizio.

nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } accept

Rezistu larĝigi iun el la reguloj por kompensi maltrafan diagnozon. Permeso por ĉio ĉe la ESP-protokolo sur ĉiu interfaco, aŭ UDP-permeso de ie ajn al ie ajn, riparas simptomon kaj forigas la kontrolon, kiun vi provis agordi. La mallarĝa subtenata fluo preskaŭ ĉiam sufiĉas, kiam la formo estas konata.

Fine, tenu la tavolojn ĝustaj, kiam la tunelo funkcias kaj la aplikaĵo ne. Paketoj alvenantaj ĉe la enirejo ankoraŭ bezonas plusendadon, revenan vojon kaj politikon, kiu akceptas ilin, kaj neniun el tiuj esprimas ESP-regulo. La mankanta pordo klarigas specifan paneon, ne ĉiun IPsec-paneon. Tenu la regulan riparon kaj la enkursigan kontrolon kiel du apartajn konkludojn.

Notu la formon, kiun vi observis, la protokolan regulon, kiun vi aldonis, kaj la nombrilon, kiun vi vidis poste. Tri linioj, kaj la sekva persono povas distingi nomspacan eraron de enkursiga eraro en unu minuto anstataŭ en posttagmezo.