ESP IP 50 protokoloa da, ez TCP 50 portua: zer baimendu
Protokolo-zenbakiak eta portu-zenbakiak izen-espazio desberdinak dira. TCP 50 porterako arauak ez du ezer baimetzen, eta NAT zeharkaldiak ESP UDP 4500-era eramaten du.
Suhormako inprimakiek TCP portu bat eskatzen dute, eta begi-bistako sarrera 50 da. Sarrera horrek ez du ezer baimetzen, ESP IP 50 protokolo-zenbakia delako eta protokolo-zenbakiak ez direlako portuak. Bi izen-espaziok osoko zenbaki txikiak partekatzen dituzte eta besterik ez, eta errorea ikusezina izaten da IKE amaitu eta babestutako trafikoa inoiz iristen ez den arte.
Zenbaki txikiak partekatzen dituzten bi izen-espazio
IP goiburuak hurrengoa izendatzen duen protokolo-eremua darama: 6 TCPrentzat, 17 UDPrentzat, 1 ICMPrentzat, 50 ESPrentzat, 51 AHrentzat. TCP edo UDP goiburuak portu-zenbakiak daramatza, eta horiek helmugako ostalarian prozesu bat hautatzen dute. 50 protokoloa eta TCP 50 portua erlaziorik gabeko balioak dira, baina elkarrizketa-koadro batek trukagarri irudiarazi ditzake.
Horregatik portuen birbidaltze-arau batek ezin du ESP natiboa adierazi. Ez dago birbidaltzeko ESP helmuga-porturik, eta portuen arauak bakarrik ulertzen dituen gailuak ez du pakete horretarako hiztegirik ere. Arau zuzenak IP protokoloa izendatzen du. Portuen edozein elkarrizketa pakete horretarako tresna okerra da.
Nahasteak bigarren erdia du. Paketea zifratuta dagoenean, barruan dagoen guztia opakua da, jatorrizko konexioaren TCP goiburua barne. Pakete horretan portuak ikuskatzen dituen suhormalak kanpoko goiburua begiratzen du, eta kasu natiboan ez du porturik ikuskatzeko.
ESP natiboa, gero alternatiba kapsulatua
ESP natiboa zuzenean IP protokolo gisa eramaten da, eta hori berdin da eraginkorra eta deserosoa. Eraginkorra da goiburu gehigarririk ez dagoelako, eta deserosoa helbideak eta portuak itzultzen dituen edozein gailuk ezin duelako jarraitu. NAT zeharkaldia hori konpontzeko dago, ESP paketea UDP barruan bilduz, itzultzaileak berridazteko portuak izan ditzan.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Bi formak datu-kanal beraren hedapen alternatiboak dira, ez baten geruzak. ESP natiboa baimentzeak ez du forma kapsulatua uzten, eta UDP 4500 baimentzeak ez du trafiko natiboa uzten, beraz arau-multzoak hedapenarekin bat etorri behar du, ezustean biak estali beharrean.
Detekzioa ere garrantzitsua da hemen. Muturreko puntuek formen artean erabakitzen dute negoziazioan, eta aldaketa normalean haien artean NAT bat detektatzen denean gertatzen da. Beraz, tunela ezarri ondoren aldatzen den ibilbide batek trafikoa zure arauek inoiz estali ez zuten izen-espaziora eraman dezake.
Irakurri konexioak benetan zein forma erabiltzen duen
Galde iezaiozu muturreko puntuari suhormalatik asmatu beharrean. Linuxen egoera-sarrerak adierazten du elkarteak UDP kapsulatzea erabiltzen duen eta zein portu dauden tartean. Paketeen kapturak galdera bera erantzuten du kabletik, eta biak azkarragoak dira arau-multzo bat irakurri eta itxarotea baino.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Lehen komandoak kapsulatze mota erakusten du NAT zeharkaldia erabiltzen denean, eta ezer ez erabiltzen ez denean. Bigarrenak erakusten du bi formetatik zein igarotzen den benetan interfazea, eta horrek paperean zuzena dirudien konfigurazioari buruzko eztabaidak amaitzen ditu.
Aurkako froga urrats berekoa da. Zero bat-etortze jakinarazten dituen arauak paketea inoiz hara iritsi ez zela esaten dizu, eta hori bideratze edo hautatzaile kontua da, ez suhorma kontua.
Ondoren berretsi kontrol-kanala bereizita. IKEk bere portuak eta bere erregistroak ditu, eta daturik gabeko negoziazio osatua artikulu honek aipatzen duen banaketa zehatza da.
Idatzi araua izen-espazio egokian
Protokolo-araua eta portu-araua jarraibide desberdinak dira, beraz tresnak zuk esan nahi duena adierazi behar du. nftablesen protokoloaren bat-etortzea esplizitua da, eta alternatiba kapsulatuak bere UDP araua jasotzen du. Eutsi bi arauak elkarren ondoan, bikotea berrikuspenean ikusgai egon dadin.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptErresistitu bi arauetako edozein zabaltzeko tentazioari diagnostiko oker bat konpentsatzeko. ESP protokoloarentzat guztia baimentzeak interfaze guztietan, edo edonondik edonora UDP baimentzeak sintoma konpontzen du eta konfiguratu nahi zenuen kontrola kentzen du. Fluxu estu onartuak ia beti nahikoa da forma ezagututa.
Azkenik, eutsi geruza zuzen, tunela funtzionatzen duenean eta aplikazioak ez. Atebidera iristen diren paketeek oraindik birbidaltzea, itzulera-ibilbidea eta onartzen dituen politika bat behar dituzte, eta horietako bat ere ez du ESP arau batek adierazten. Falta den portuak huts egite zehatz bat azaltzen du, ez IPsec-eko hutsegite guztiak. Eutsi arauaren konponketa eta bideratze-egiaztapena bi ondorio bereizi gisa.
Idatz itzazu behatu zenuen forma, gehitu zenuen protokolo-araua eta geroago ikusi zenuen kontagailua. Hiru lerro, eta hurrengo pertsonak izen-espazioko errore bat bideratze-errore batetik bereiz dezake minutu batean, arratsalde bat beharrean.