IKEv2 kasutab UDP 500 ja 4500: milline neist kannab andmeid?

UDP 500 avamine tulemüüris laseb tunnelil läbirääkimisi pidada ja seejärel lakkab ühendus liiklust läbi laskmast. Pordiloend oli puudulik, mitte vale. IKEv2 algab ühel soketil ja jätkub paljudes reaalsetes juurutustes teisel, samas kui kasulik koormus ei pruugi üldse port olla. Etappide järjest lugemine selgitab, milline reegel puudub.

Kaks porti, kaks ülesannet

IKEv2 algab võtmevahetusega UDP 500 juures, kus osapooled autentivad end ja loovad tunnelile turvaassotsiatsiooni. Järgnev andmetee on eraldi küsimus: see võib olla päris ESP, mis on IP-protokolli number, mitte port, või UDP-sse kapseldatud liiklus pordil 4500. Nende eristamine tulemüüri ülevaates on vahe tunnelil, mis peab läbirääkimisi, ja tunnelil, mis töötab. Üks soket kannab juhtimist ja teine kasulikku koormust.

Seepärast tekitab reegel, mis lubab ainult 500, kõige segasema sümptomi kogu protokolliperekonnas: läbirääkimine õnnestub ja midagi kasulikku ei järgne. Olek näitab partnerit, logi näitab loodud IKE SA-d ja rakendus saab ikkagi ajalõpu. Puuduv luba kuulub teisele voolule kui see, mis äsja õnnestus.

Miks 4500 üldse olemas on

Paljud NAT-seadmed ei suuda edastada muud protokolli peale TCP või UDP, ja mõned kirjutavad aadresse ümber viisil, mis rikub ESP terviklikkuse kontrolli. ESP kapseldamine UDP-sse lahendab mõlemad probleemid, hinnaks lisapäis ja teine port, mis tuleb lubada. Just see kapseldamine on põhjus, miks teine port üldse olemas on.

Kui NAT on tuvastatud, liigub IKE ise samuti 4500 juurde, et kogu liiklus jagaks tõlkija kaudu üht teed. Neljabaidine marker, mis ei ole ESP, eristab sellel soketil juhtimisteateid andmetest. Üleminek on protokolli otsus, mitte administraatori eelistus.

Kus lähteport muutub

Tõlkija võib kliendi lähteporti ümber kirjutada, mistõttu serveris nähtav korteež ei kattu kliendi korteežiga. Enne järeldust, et reeglit eiratakse, vaadake iga NAT-hüppe mõlemat poolt. Ainult kliendi juures tõrkeotsing võib anda reegli, mis tundub õige ja sellegipoolest ebaõnnestub.

MOBIKE-toega lahendused võivad samuti 4500 juurde liikuda ilma tuvastatud NAT-ita, ja mõned juurutused sunnivad seda teed teadlikult. Seega on 4500 nägemine otsuse tõend, mitte koduruuteri tõend.

Kontrollige mõlemat voogu igal piiril

Käige läbi kolm piiri: kliendivõrk, mis tahes vahepealne tulemüür ja server. Igaüks vajab vooge, mida juurutus dokumenteerib, mitte vooge artiklist mõne teise juhtumi kohta.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ESP rida tulemüüri loendis on protokolli vastavus, seega pordireegel ei kata seda kunagi. Kui operaator kasutab kohandatud porti, järgige dokumenteeritud konfiguratsiooni mõlemas otsas, sest klient ei saa serveris kuulajat luua, valides tuttava numbri.

Kirjutage üles, kus läbirääkimine peatus ja kas alam-turvaassotsiatsioon paigaldati, sest see paar eristab blokeeritud tee autentimis- või poliitikaveast. Seejärel korrake testi serveri kontrolliga, sest kättesaadavus ei ole autentimine. See viimane samm eristab lubatud pordi usaldusväärsest partnerist.