Protokolo 47 kontraŭ TCP-pordo 47: du kapoj, du reguloj

Hotelaj retoj kaj konferencaj fajroŝirmiloj ofte montras apartan permesan kampon, kaj iu tajpas 47 en ĝin esperante, ke PPTP funkcios. La regulo kreiĝas, la tunelo ankoraŭ fiaskas, kaj la sekva provo uzas alian numeron. La eraro kuŝas en la paketo mem: IPv4 havas protokolan kampon, kiu nomas tion, kio sekvas la IP-kapon, dum TCP kaj UDP havas pordajn kampojn, kiuj ekzistas nur kiam vi estas ene de unu el tiuj kapoj. Ili ne estas du skribmanieroj de la sama permeso.

La IPv4-kapo nomas la sekvan protokolon

La protokola kampo estas unu bajto en la IPv4-kapo, kaj ĝi enhavas numeron, kiu priskribas la utilan ŝarĝon: 6 por TCP, 17 por UDP, 47 por GRE, 50 por ESP. Ĉio, kio filtras paketojn, legas tiun valoron antaŭ ol rigardi pli profunden, ĉar la pli profunda kapo havas sencon nur post kiam la tipo estas konata. Ŝanĝu pordon poste en la konversacio, kaj ĉi tiu kampo ne moviĝis.

Regulo skribita kontraŭ protokolo 47 do priskribas la IP-tavolon. Neniu pordo partoprenas la decidon tute.

Pordoj ekzistas ene de TCP kaj UDP, nenie alie

Pordoj estas dekses-bitaj identigiloj ene de TCP- kaj UDP-kapoj, kaj ilia tasko estas apartigi konversaciojn, kiuj dividas unu adreson. GRE-kapo portas protokolotipan valoron, ofte EtherType, plus laŭvolajn ŝlosilojn por multobligo. Tial la esprimo pordo 47 nomas nenion, kun kio GRE-paketo povus kongrui.

Fajroŝirmilaj interfacoj malsamas laŭ tio, kiom da tio ili montras. Iuj akceptas protokolan numeron, iuj proponas nomitan liston, kaj malmultaj akceptas nur TCP aŭ UDP kun pordoj.

PPTP uzas ambaŭ tavolojn samtempe

PPTP estas la plej klara ekzemplo, ĉar ĝi intence dividas sian laboron inter la du. La kontrola konekto estas TCP-sesio al pordo 1723, kaj la datenvojo estas GRE, protokolo 47, sen iu pordo ie ajn. Fajroŝirmilo, kiu permesas 1723 kaj nenion alian, lasas la intertraktadon komenciĝi kaj poste forĵetas la utilan ŝarĝon. La tunelo ŝajnas pendi post aŭtentigo anstataŭ malsukcesi konekti, kaj tial la simptomo ofte raportiĝas kiel pasvorta problemo.

Legu la du vicojn aparte kiam vi skribas la regulon, kaj kontrolu ĉiun kontraŭ la sintakso de la vendanto. Unu vico bezonas pordon, la alia bezonas protokolan numeron, kaj neniu unuopa enskribo kovras ambaŭ.

Kial porda plusenda paĝo ne povas esprimi GRE

Plusenda formularo, kiu akceptas nur TCP kaj UDP, ne povas priskribi GRE, kiel ajn la formularo nomiĝas. Adresa tradukado aldonas duan malfacilaĵon, ĉar GRE ne havas pordojn kaj la tradukilo devas sekvi anstataŭe la alvokan identigilon. Iuj hejmaj enkursigiloj venas kun helpanto, kiu pritraktas tion; multaj ne, kaj neniu plia TCP-permesa enskribo kreos tiun konduton.

Kie moderna tunelo estas la reala postulo, elektu dezajnon, kiu intence uzas TCP aŭ UDP anstataŭ esperi, ke tradukilo divenos ĝuste.

Enkapsuligo decidas, kion vidas la filtrilo

Enkapsuligo ŝanĝas la eksteran paketon, kaj la ekstera paketo estas tio, kun kio kongruas regulo. Denaska ESP estas protokolo 50, dum NAT-trapaso volvas ESP ene de UDP 4500 por ke ĝi travivu adresan tradukadon. Filtrilo, kiu permesas UDP 4500, neniam vidas protokolon 50, kaj filtrilo skribita por protokolo 50 neniam kongruas kun la volvita formo.

Demandu, pri kiu enkapsuligo la kliento kaj la kluzo interkonsentis, poste skribu la regulon por ĝuste tiu ekstera formo kaj nenio pli.

Skribu la regulon tiel, ke iu povu kontroli ĝin

Esprimu ĉiun regulon kiel adresan familion, eksteran protokolon, transportajn pordojn se estas, direkton kaj ambaŭ finpunktojn. Recenzanto povas kompari tiun frazon kun paketa registraĵo kaj atingi verdikton. Instrukcion malfermi 47 neniu povas kontroli, kaj tial ĝi postvivas jarojn en proceduraj libroj.

Aldonu la teston, kiu pruvas ĝin: konektiĝu dum registrado sur la ekstera interfaco, kaj konfirmu la eksteran protokolon kaj pordon, kiuj efektive aperas en la spuro.