IKE super TCP 4500: kontrolu ambaŭ finojn antaŭ la porda regulo
TCP-enkapsuligon interkonsentas ambaŭ finoj, ne donas ĝin fajromura regulo. Plenumu la kontrolon de la aŭskultanto, la kaptadon kaj la kvar akceptajn etapojn laŭorde.
Subtenaj biletoj ofte alvenas kun la fajromura ŝanĝo jam aprobita kaj la tunelo ankoraŭ rifuzanta leviĝi. Tio estas la atendata rezulto kiam nur unu fino havas la funkcion: TCP-enkapsuligo laŭ RFC 9329 devas esti implementita kaj agordita ĉe ambaŭ finoj, kaj la interkonsento okazas ene de la konekto antaŭ ol iu ajn protektita trafiko povas moviĝi. Malfermi pordon anoncas aŭskultanton kiu eble ne ekzistas, kaj aŭskultanto sen la kongrua agordo ĉe la alia flanko akceptas konekton kaj poste silentas. La suba sinsekvo metas la malmultekostajn kontrolojn unue.
Sciu, kion la opcio efektive aldonas
Denaska IPsec transportas ĉifritajn utilajn ŝarĝojn kiel IP-protokolo 50, sen porda numero por permesi. NAT-traversal envolvas tiujn pakaĵojn en UDP al pordo 4500, kaj tial tiom da fajromuraj reguloj mencias tiun pordon. RFC 9329 aldonas fluan prezenton: IKE- kaj IPsec-pakaĵoj ambaŭ vojaĝas ene de unu TCP-konekto, kutime al pordo 4500.
La fluo ne estas retservo. TCP-konekto al 4500 diras nenion pri HTTP, TLS aŭ prokura afableco, kaj HTTP-prokuro en la vojo kutime rompos la kadrigon anstataŭ porti ĝin.
Antaŭkontrolo antaŭ ol tuŝi la fajromuron
La normo metas TCP kiel rezervan vojon por retoj kiuj forĵetas la UDP-vojon, ne kiel ĝian anstataŭon. Akiru du faktojn de ĉiu vendanto: la ĝustan nomon de la funkcio kaj la version kiu implementas RFC 9329 anstataŭ proprietan varianton. Etikedoj kiel IPsec over TCP estis uzataj por nerilataj dezajnoj, do petu la dokumentan referencon kaj la agordan ŝlosilon kiu ŝaltas ĝin. Sen ambaŭ respondoj, supozu nenion pri drata kongruo.
Pruvu tion en laboratorio kie ambaŭ finoj estas viaj. Pordego kiu respondas je TCP 4500 sed neniam finas IKE estas la signo de aŭskultanto sen la kongrua enkapsuligo ĉe la alia flanko, kaj malkovri tion tie estas multe pli malmultekosta ol dum ŝanĝa fenestro.
Ĉe la respondanto: ĉu io aŭskultas
Komencu per la ingo. ss -ltnp | grep 4500 montras ĉu ekzistas TCP-aŭskultanto kaj kiu procezo posedas ĝin. La foresto de linio finas la esploron ĉe la pordega agordo anstataŭ ĉe la reto.
Se la ingo estas tie, observu la manpremon anstataŭ diveni de la klienta flanko: tcpdump -ni any 'tcp port 4500'. Finita tripa manpremo sekvata de silento signifas ke la fluo estis akceptita kaj la IKE-interŝanĝo ene de ĝi malsukcesis, dum SYN sen respondo indikas filtradon aŭ la malĝustan adreson.
Komparu kun la UDP-vojo en la sama kapta fenestro por ke la du ne konfuziĝu: tcpdump -ni any 'udp port 4500 or proto 50'. Trafiko sur protokolo 50 aŭ UDP-pordo 4500 dum vi kredas ke TCP estas uzata signifas ke la finoj neniam interkonsentis pri la rezervo. Kaptu ankaŭ ĉe la pordego se vi povas, ĉar kapto ĉe la klienta flanko ne povas montri kion sendis la malproksima fino.
Akceptu en kvar apartaj etapoj
Traktu la levon kiel kvar rezultojn. Ĉiu povas malsukcesi pro malsama kaŭzo, kaj sola pasinteco aŭ malsukceso kaŝas kiun ĝi estis, do haltu ĉe la unua etapo kiu malsukcesas kaj komencu denove de la supro.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
La kvara etapo estas tiu kiu estas preterlasata. Ekzistanta sesio povas daŭrigi labori sur kaŝmemora stato, do malfermu novan konekton al gastiganto malantaŭ la pordego antaŭ ol fermi la ŝanĝon. Se la dua etapo malsukcesas dum la unua pasas, la malkonsento kuŝas en la propono aŭ en la enkapsuliga agordo, ne en la fajromuro.
Revertigo, kaj la kosto lasi ĝin ŝaltita
Planu la malfaron antaŭ la ŝanĝo: malŝaltu la enkapsuligan opcion ĉe ambaŭ finoj kaj konfirmu ke la tunelo revenas per UDP. Konservu la TCP-regulon dum unu revizia ciklo se la rezervo denove necesiĝos, poste forigu ĝin. Neuzata aŭskultanto ĉe 4500 estas surfaco sen ajna operacia valoro.
Atentu la efikecan signon kiam ĝi portos realan laboron. TCP ene de TCP aldonas konfirmajn tavolojn kiuj haltas ĉe unu sola perdo, kaj fluoj kiuj dividas unu konekton povas bloki unu la alian, do mezuru la aplikaĵon kiu uzos la tunelon anstataŭ ping.
Akcepta listo
Konfirmu la funkcionoman kaj version ĉe ambaŭ finoj, la aŭskultanton ĉe la respondanto, la kapton montrantan finitan manpremon, kaj la kvar etapojn registritajn kun tempomarkoj. Aldonu la kialon de la rezervo al la ŝanĝa registro por ke la sekva inĝeniero sciu kial TCP estas tie. Ekzercu la revertigon antaŭ ol vi bezonos ĝin.
Se iu ajn etapo malsukcesas, riparu nur tiun etapon. Ŝanĝi la ĉifran aron aŭ la identecajn agordojn por ĉasi transportan problemon kutime aldonas duan, nerilatan malsukceson sur la unuan.