IKE TCP:n yli 4500: tarkista molemmat päät ennen porttisääntöä
TCP-kapseloinnista sopivat molemmat päät, sitä ei myönnä palomuurisääntö. Suorita kuuntelijan tarkistus, kaappaus ja neljä hyväksymisvaihetta järjestyksessä.
Tukitiketit saapuvat usein, kun palomuurimuutos on jo hyväksytty ja tunneli yhä kieltäytyy nousemasta. Se on odotettu tulos, kun ominaisuus on vain toisessa päässä: RFC 9329:n TCP-kapselointi on toteutettava ja määritettävä molemmissa päissä, ja sopimus syntyy yhteyden sisällä ennen kuin mikään suojattu liikenne voi liikkua. Portin avaaminen mainostaa kuuntelijaa, jota ei ehkä ole, ja kuuntelija ilman toisessa päässä olevaa vastaavaa määritystä hyväksyy yhteyden ja vaikenee sitten. Alla oleva järjestys asettaa halvat tarkistukset ensin.
Tiedä, mitä valinta todella lisää
Natiivi IPsec kuljettaa salatut hyötykuormat muodossa IP-protokolla 50, ilman porttinumeroa, joka pitäisi sallia. NAT traversal käärii ne paketit UDP:hen porttiin 4500, ja siksi niin monet palomuurisäännöt mainitsevat sen portin. RFC 9329 lisää virtaesityksen: IKE- ja IPsec-paketit kulkevat molemmat yhden TCP-yhteyden sisällä, yleensä porttiin 4500.
Virta ei ole verkkopalvelu. TCP-yhteys porttiin 4500 ei kerro mitään HTTP:stä, TLS:stä tai välityspalvelinystävällisyydestä, ja polulla oleva HTTP-välityspalvelin yleensä rikkoo kehystyksen sen sijaan että kuljettaisi sitä.
Esitarkistus ennen kuin kosket palomuuriin
Standardi asettaa TCP:n varavaihtoehdoksi verkoille, jotka pudottavat UDP-polun, ei sen korvikkeeksi. Hanki kaksi tosiasiaa jokaiselta toimittajalta: ominaisuuden tarkka nimi ja versio, joka toteuttaa RFC 9329:n eikä omisteista muunnelmaa. Tunnisteita kuten IPsec over TCP on käytetty toisiinsa liittymättömiin suunnitelmiin, joten pyydä asiakirjaviite ja määritysavain, joka kytkee sen päälle. Ilman molempia vastauksia älä oleta mitään johdon yhteensopivuudesta.
Todista se laboratoriossa, jossa molemmat päät ovat sinun. Yhdyskäytävä, joka vastaa TCP 4500:een mutta ei koskaan suorita IKE:tä loppuun, on merkki kuuntelijasta, jolla ei ole vastaavaa kapselointia toisessa päässä, ja sen löytäminen siellä on paljon halvempaa kuin muutosikkunan aikana.
Vastaajan päässä: kuunteleeko jokin
Aloita pistokkeesta. ss -ltnp | grep 4500 näyttää, onko TCP-kuuntelija olemassa ja mikä prosessi omistaa sen. Rivin puuttuminen päättää tutkinnan yhdyskäytävän määritykseen eikä verkkoon.
Jos pistoke on siellä, seuraa kättelyä sen sijaan että arvailisit asiakkaan puolelta: tcpdump -ni any 'tcp port 4500'. Valmis kolmisuuntainen kättely ja sitä seuraava hiljaisuus tarkoittaa, että virta hyväksyttiin ja sen sisällä oleva IKE-vaihto epäonnistui, kun taas vastaamaton SYN viittaa suodatukseen tai väärään osoitteeseen.
Vertaa UDP-polveen samassa kaappausikkunassa, jotta kahta ei sekoiteta: tcpdump -ni any 'udp port 4500 or proto 50'. Liikenne protokollassa 50 tai UDP-portissa 4500, kun uskot TCP:n olevan käytössä, tarkoittaa, että päät eivät koskaan sopineet varavaihtoehdosta. Kaappaa myös yhdyskäytävällä, jos voit, koska asiakkaan puolen kaappaus ei voi näyttää, mitä kaukainen pää lähetti.
Hyväksy neljässä erillisessä vaiheessa
Käsittele käynnistys neljänä tuloksena. Jokainen voi epäonnistua eri syystä, ja yksittäinen läpäisy tai hylkäys kätkee, mikä niistä oli, joten pysähdy ensimmäiseen epäonnistuvaan vaiheeseen ja aloita uudelleen alusta.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Neljäs vaihe on se, joka ohitetaan. Olemassa oleva istunto voi jatkaa välimuistiin tallennetulla tilalla, joten avaa uusi yhteys yhdyskäytävän takana olevaan isäntään ennen muutoksen sulkemista. Jos toinen vaihe epäonnistuu ensimmäisen läpäistessä, erimielisyys on ehdotuksessa tai kapselointiasetuksessa, ei palomuurissa.
Palautus ja sen päällä pitämisen hinta
Suunnittele peruutus ennen muutosta: kytke kapselointivalinta pois molemmissa päissä ja varmista, että tunneli palaa UDP:n kautta. Pidä TCP-sääntö yhden katselmointikierroksen ajan siltä varalta, että varavaihtoehtoa tarvitaan uudelleen, ja poista se sitten. Käyttämätön kuuntelija portissa 4500 on pintaa ilman mitään operatiivista arvoa.
Tarkkaile suorituskykymerkkiä, kun se alkaa kantaa oikeaa työtä. TCP TCP:n sisällä lisää kuittauskerroksia, jotka pysähtyvät yhteenkin häviöön, ja yhtä yhteyttä jakavat virrat voivat estää toisensa, joten mittaa sovellusta, joka tunnelia käyttää, pingin sijaan.
Hyväksymisluettelo
Vahvista ominaisuuden nimi ja versio molemmissa päissä, kuuntelija vastaajan päässä, kaappaus joka näyttää valmiin kättelyn, ja neljä vaihetta aikaleimoilla kirjattuna. Lisää varavaihtoehdon syy muutoskirjaukseen, jotta seuraava insinööri tietää, miksi TCP on siellä. Harjoittele palautusta ennen kuin tarvitset sitä.
Jos jokin vaihe epäonnistuu, korjaa vain se vaihe. Salauspaketin tai identiteettiasetusten muuttaminen kuljetusongelman perässä lisää yleensä toisen, siihen liittymättömän vian ensimmäisen päälle.