IKE TCP gainean 4500: egiaztatu bi muturrak ataka-araua baino lehen
TCP kapsulatzea bi muturrek negoziatzen dute, ez du suebaki-arau batek ematen. Exekutatu entzulearen egiaztapena, harrapaketa eta onarpen-etapa laurak ordenan.
Laguntza-txartelak sarritan iristen dira suebaki-aldaketa dagoeneko onartuta eta tunela oraindik igotzeari uko egiten diola. Hori da espero den emaitza mutur batek bakarrik duenean funtzioa: RFC 9329ren TCP kapsulatzea bi muturretan inplementatu eta konfiguratu behar da, eta akordioa konexioaren barruan gertatzen da babestutako trafikoa mugitu aurretik. Ataka bat irekitzeak agian existitzen ez den entzule bat iragartzen du, eta beste aldean bat datorren konfiguraziorik ez duen entzule batek konexioa onartu eta gero isildu egiten da. Beheko sekuentziak egiaztapen merkeak jartzen ditu lehenengo.
Jakin zer gehitzen duen aukerak benetan
IPsec natiboak karga enkriptatuak garraiatzen ditu honela: IP protokolo 50, baimendu beharreko ataka-zenbakirik gabe. NAT traversal-ek pakete horiek UDP-n biltzen ditu 4500 atakara, eta horregatik aipatzen dute hainbat suebaki-arauk ataka hori. RFC 9329k fluxu-irudikapena gehitzen du: IKE eta IPsec paketeak biak TCP konexio bakarrean bidaiatzen dute, normalean 4500 atakara.
Fluxua ez da web zerbitzu bat. 4500era TCP konexio batek ez du ezer esaten HTTP, TLS edo proxyekiko adeitasunari buruz, eta bidean dagoen HTTP proxy batek markoa hautsi ohi du, eraman beharrean.
Aurretiazko egiaztapena suebakia ukitu aurretik
Estandarrak TCP UDP bidea botatzen duten sareetarako erreserba gisa kokatzen du, ez haren ordezko gisa. Lortu bi datu hornitzaile bakoitzetik: funtzioaren izen zehatza eta RFC 9329 inplementatzen duen bertsioa, bertsio jabedun bat ez. IPsec over TCP bezalako etiketak erlaziorik gabeko diseinuetarako erabili izan dira, beraz eskatu dokumentu-erreferentzia eta pizten duen konfigurazio-gakoa. Bi erantzunik gabe, ez ezazu ezer suposatu kableko bateragarritasunaz.
Froga ezazu bi muturrak zureak diren laborategi batean. TCP 4500ri erantzuten dion baina IKE inoiz osatzen ez duen ate bat beste aldean bat datorren kapsulaziorik gabeko entzule baten sinadura da, eta hori han aurkitzea aldaketa-leiho batean aurkitzea baino askoz merkeagoa da.
Erantzulearen aldean: entzuten ari da zerbait
Hasi socketarekin. ss -ltnp | grep 4500 ikusten du TCP entzulerik baden eta zein prozesuk duen. Lerro bat ez egoteak ikerketa atea konfigurazioan amaitzen du, ez sarean.
Socket hor badago, begiratu eskua ematea bezeroaren aldetik asmatu beharrean: tcpdump -ni any 'tcp port 4500'. Osatutako hiru bideko eskua ematea eta ondoren isiltasuna esan nahi du fluxua onartu zela eta haren barruko IKE trukea huts egin zuela, eta erantzunik gabeko SYN batek iragazketa edo helbide okerra adierazten ditu.
Konparatu UDP bidearekin harrapaketa-leiho berean, biak ez nahasteko: tcpdump -ni any 'udp port 4500 or proto 50'. TCP erabiltzen dela uste duzun bitartean 50 protokoloan edo 4500 UDP atakan trafikoa egoteak esan nahi du muturrek ez zutela inoiz erreserban ados jarri. Harrapatu atean ere ahal baduzu, bezeroaren aldeko harrapaketa batek ezin duelako erakutsi urruneko muturrak zer bidali zuen.
Onartu lau etapa bereizitan
Hartu altxatzea lau emaitza gisa. Bakoitzak arrazoi desberdinagatik huts egin dezake, eta gainditu edo huts bakarreak ezkutatzen du zein izan zen, beraz gelditu huts egiten duen lehen etapan eta hasi berriro goitik.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Laugarren etapa da saltatzen dena. Dagoeneko saio batek cachean gordetako egoeran jarrai dezake lanean, beraz ireki konexio berri bat ateen atzeko ostalari batera aldaketa itxi aurretik. Bigarren etapak huts egiten badu lehenengoak gainditzen duen bitartean, desadostasuna proposamenean edo kapsulazio-ezarpenan dago, ez suebakian.
Atzera egitea, eta piztuta uztearen kostua
Planifikatu desegitea aldaketaren aurretik: itzali kapsulazio-aukerak bi muturretan eta baieztatu tunela UDP bidez itzultzen dela. Eutsi TCP araua berrikuspen-ziklo batean erreserba berriro behar izanez gero, eta gero kendu. 4500n erabili gabeko entzule bat eragiketa-baliorik gabeko azalera da.
Begiratu errendimendu-sinadura lan erreala daramanean. TCPren barruko TCPk galera bakar batean trabatzen diren berrespen-geruzak gehitzen ditu, eta konexio bat partekatzen duten fluxuek elkar blokea dezakete, beraz neurtu tunela erabiliko duen aplikazioa, ping bat ez.
Onarpen-zerrenda
Baieztatu funtzioaren izena eta bertsioa bi muturretan, entzulea erantzulean, eskua ematea osatuta erakusten duen harrapaketa eta lau etapak denbora-markekin erregistratuta. Gehitu erreserbaren arrazoia aldaketaren erregistroan, hurrengo ingeniariak jakin dezan zergatik dagoen TCP han. Entseatu atzera egitea behar duzun aurretik.
Etaparen batek huts egiten badu, konpondu etapa hori soilik. Zifratze-multzoa edo identitate-ezarpenak aldatzea garraio-arazo baten atzetik ibiltzeko, normalean, lehenaren gainean bigarren hutsegite erlaziorik gabea gehitzen du.