Zergatik behar duen L2TP/IPsec-ek UDP 1701 IPsec-ekin batera

IKE eta ESP uzten dituzten baina UDP 1701 uzten ez duten suebakiek L2TP konexioak hausten dituzte kredentzialen arazo baten itxura duen moduan. Arrazoia zera da: L2TP lehenengoaren barnean bidaiatzen duen bigarren protokoloa da. IPsec-ek trukea garraiatu eta autentikatzen du, eta L2TP-k bere tunela UDP 1701 gainean exekutatzen du, tokiko pilak oraindik entregatu behar duena. Goiburu bakoitza non agertzen den jakiteak zein gailuk zein arau behar duen azaltzen du.

Bi protokolo, bi portu-multzo

L2TP/IPsec konexio batek IKE erabiltzen du UDP 500 gainean, NAT zeharkatzea UDP 4500 gainean itzulpena dagoenean, eta ESP IP protokolo 50 gisa ez dagoenean. L2TP bera UDP 1701 gaineko tunel protokoloa da, eta IPsec-ek parekidea autentikatu ondoren exekutatzen da. Bi erdiek modu ezberdinean huts egiten dute, eta horien berri ematen duten erregistro lerroak osagai ezberdinetatik datoz. Lehen erdia soilik estaltzen duen arau-multzo batek negoziatu eta gero tunel fasean hiltzen den konexioa sortzen du.

Portu zenbakiek garraio muturrak deskribatzen dituzte, eta ESP ez da portua inola ere. Horregatik, TCP eta UDP arauak soilik eskaintzen dituen suebaki interfaze batek ezin du IPsec politika osoa adierazi. 50 protokoloa protokolo gisa baimendu behar da, eta UDP soilik aipatzen duen arau batek ez du inoiz harekin bat egingo.

Bilgarriak azaltzen du portua

Sarean, L2TP/IPsec konexio batek IKE 500 gainean eta bildutako ESP 4500 gainean erakusten ditu normalean. UDP 1701 goiburua babestutako karga barnean dago, horregatik kanpoko interfazean egindako harrapaketak ez du erakusten. Tokiko ostalariak datagrama hori L2TP deabruari entregatu behar dio oraindik, eta entrega deskapsulatu ondoren gertatzen da. Beraz, 1701 araua muturraren beraren suebakiari dagokio, inongo tarteko gailuk portua inoiz ikusten ez duenean ere.

Prozesatze ordenak azaltzen du nahasmenaren zatirik handiena. Pilak IPsec politika ostalariaren iragazkiaren aurretik aplikatzen badu, deskapsulatutako L2TP paketea UDP 1701 gisa parekatzen da; ordena alderantziz badago, kanpoko portuak dira arau-multzoak ikusten duena. Bi portaerak praktikan existitzen dira, horregatik arau-multzo bera plataforma batean funtzionatzen eta bestean huts egiten duela dirudi.

Egiaztatu bidea ordenan

Harrapatu kanpoko interfazea lehenik eta berretsi IKE eta bildutako ESP bi norabidetan mugitzen direla. Gero egiaztatu tokiko suebakiaren kontagailuak deskapsulatutako trafikorako. Ordena garrantzitsua da, ezer ere erakusten ez duen harrapaketa batek arazoa ostalariaren goialdean dagoela esan nahi baitu.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Harrapaketak trukearen lehen erdia berresten du eta parekideak erantzuten duen erakusten du. Arauen zerrendak 1701 araua badagoen eta baztertze politikaren batekiko non kokatzen den erakusten du. Socketen zerrendak L2TP deabrua lotuta eta entzuten dagoela berresten du, inoiz abiatu ez zen zerbitzu bat baztertuz. Irakurri hirurak araua aldatu aurretik, entzule faltak eta iragazitako portuak erabiltzailearengandik kexa berdinak sortzen baitituzte.

Portu eskaneatzeak erakutsi ezin duena

UDP 1701-en kanpoko eskaneatzeak ondo konfiguratutako zerbitzari baten aurka normalean ez du ezer jakinarazten, eta hori da espero den emaitza. Portua ez dago interneten agerian; IPsec-ek parekidea autentikatu ondoren soilik iristen da hara. Emaitza itxia matxura gisa tratatzeak itxita egon beharko lukeen portu bat irekitzera eramaten du. Eskaneatzeak ezin du tunelaren barruan ikusi aplikazioaren trafikoa ikusi ezin duen bezain gutxi.

Probatu benetako bezero batekin horren ordez, eta irakurri zein fasera iristen den. Konexioak negoziatu eta gero trabatzen bada, L2TP deabrua edo tokiko iragazkia da susmagarria; inoiz negoziatzen ez badu, kanpoko portuak dira. Banaketa bakar horrek zein arau gehitu behar denari buruzko asmakizun gehienak kentzen ditu, eta protokoloen geruzatzeak aurreikusteko modukoa egiten du, misteriotsua izan beharrean.