IKE üle TCP 4500: kontrollige mõlemat otsa enne pordireeglit
TCP-kapseldamise lepivad kokku mõlemad otsad, seda ei anna tulemüürireegel. Käivitage kuulaja kontroll, püüdmine ja neli vastuvõtmisetappi järjekorras.
Toetuspiletid saabuvad sageli siis, kui tulemüüri muudatus on juba kinnitatud ja tunnel keeldub endiselt tõusmast. See on oodatud tulemus, kui funktsioon on ainult ühes otsas: RFC 9329 TCP-kapseldamine tuleb mõlemas otsas juurutada ja seadistada ning kokkulepe sünnib ühenduse sees enne, kui ükski kaitstud liiklus saab liikuda. Pordi avamine kuulutab kuulajat, mida ei pruugi olemas olla, ja kuulaja, millel pole teises otsas vastavat seadistust, võtab ühenduse vastu ja jääb seejärel vait. Allolev järjekord paneb odavad kontrollid ette.
Tea, mida valik tegelikult lisab
Loomulik IPsec edastab krüptitud kasulikku koormust kui IP-protokolli 50, ilma pordi numbriga, mida lubada. NAT traversal mässib need paketid UDP-sse pordi 4500 poole, ja seetõttu mainivad nii paljud tulemüürireeglid seda porti. RFC 9329 lisab vookujutise: IKE ja IPsec paketid liiguvad mõlemad ühe TCP-ühenduse sees, tavaliselt pordi 4500 poole.
Voog ei ole veebiteenus. TCP-ühendus pordiga 4500 ei ütle midagi HTTP, TLS-i ega puhverserverisõbralikkuse kohta ning teel olev HTTP-puhverserver lõhub tavaliselt raamimise, selle asemel et seda kanda.
Eelkontroll enne tulemüüri puutumist
Standard seab TCP varuvariandiks võrkudele, mis jätavad UDP-tee kõrvale, mitte selle asendajaks. Hankige igalt tarnijalt kaks fakti: funktsiooni täpne nimi ja versioon, mis juurutab RFC 9329, mitte omanikuvariant. Silte nagu IPsec over TCP on kasutatud seotud disainide jaoks, seega küsige dokumendiviidet ja seadistusvõtit, mis selle sisse lülitab. Ilma mõlema vastuseta ärge eeldage juhtmekompatibliteedi kohta midagi.
Tõestage seda laboris, kus mõlemad otsad on teie omad. Lüüs, mis vastab TCP 4500-le, kuid ei lõpeta kunagi IKE-d, on kuulaja tunnus, millel pole teises otsas vastavat kapseldamist, ja seda on seal palju odavam avastada kui muudatuse akna ajal.
Vastajas: kas midagi kuulab
Alustage soklist. ss -ltnp | grep 4500 näitab, kas TCP-kuulaja on olemas ja milline protsess seda omab. Rea puudumine lõpetab uurimise lüüsi seadistuse juures, mitte võrgus.
Kui socket on olemas, jälgige kätlust, selle asemel et kliendi poolelt oletada: tcpdump -ni any 'tcp port 4500'. Lõpetatud kolmesuunaline kätlus, millele järgneb vaikus, tähendab, et voog võeti vastu ja selle sees olev IKE-vahetus ebaõnnestus, samas kui vastuseta SYN viitab filtreerimisele või valele aadressile.
Võrrelge UDP-teega samas püüdmisaknas, et neid kahte mitte segi ajada: tcpdump -ni any 'udp port 4500 or proto 50'. Liiklus protokollil 50 või UDP-pordil 4500, kui arvate, et kasutusel on TCP, tähendab, et otsad ei jõudnud kunagi varuvariandis kokkuleppele. Püüdke ka lüüsil, kui saate, sest kliendipoolne püüdmine ei saa näidata, mida kaugem ots saatis.
Võtke vastu neljas eraldi etapis
Käsitlege ülespanekut nelja tulemusena. Igaüks võib ebaõnnestuda erineval põhjusel ja üks läbitud või ebaõnnestunud peidab, milline see oli, seega peatuge esimesel etapil, mis ebaõnnestub, ja alustage uuesti ülalt.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Neljas etapp on see, mis jäetakse vahele. Olemasolev seanss võib jätkata töötamist vahemällu salvestatud oleku peal, seega avage enne muudatuse sulgemist uus ühendus lüüsi taga oleva hostiga. Kui teine etapp ebaõnnestub, samal ajal kui esimene läbib, on lahknevus ettepanekus või kapseldamise seades, mitte tulemüüris.
Tagasipööramine ja selle sisselülitatuks jätmise hind
Planeerige tagasivõtmine enne muudatust: lülitage kapseldamise valik mõlemas otsas välja ja kinnitage, et tunnel naaseb UDP kaudu. Jätke TCP-reegel üheks ülevaatusetsükliks juhuks, kui varuvarianti läheb uuesti vaja, ja eemaldage see siis. Kasutamata kuulaja pordil 4500 on pind ilma igasuguse tööalase väärtuseta.
Jälgige jõudluse tunnust, kui see hakkab kandma tõelist tööd. TCP TCP sees lisab kinnitamiskihid, mis takerduvad ühe kaotuse korral, ja üht ühendust jagavad vood võivad üksteist blokeerida, seega mõõtke rakendust, mis tunnelit kasutama hakkab, mitte pingi.
Vastuvõtmisnimekiri
Kinnitage funktsiooni nimi ja versioon mõlemas otsas, kuulaja vastajas, püüdmine, mis näitab lõpetatud kätlust, ja neli etappi ajatemplitega kirja panduna. Lisage muudatuskirjesse varuvariandi põhjus, et järgmine insener teaks, miks TCP seal on. Harjutage tagasipööramist enne, kui seda vaja läheb.
Kui mõni etapp ebaõnnestub, parandage ainult seda etappi. Šifrikomplekti või identiteediseadete muutmine transpordiprobleemi taga ajades lisab tavaliselt esimese peale teise, seotud ebaõnnestumise.