IKE oer TCP 4500: kontrolearje beide einen foar de poartregel
TCP-ynkapseling wurdt troch beide einen ûnderhannele, net troch in firewallregel jûn. Fier de listenerkontrôle, de opname en de fjouwer akseptaasjestappen yn oarder út.
Stipekaarten komme faak binnen mei de firewallwiziging al goedkard en de tunnel dy't noch altyd wegeret om op te kommen. Dat is it ferwachte resultaat as mar ien ein de funksje hat: TCP-ynkapseling neffens RFC 9329 moat oan beide einen ymplemintearre en konfigurearre wurde, en de oerienkomst bart binnen de ferbining foardat hokker beskerme ferkear dan ek bewege kin. In poarte iepenje advertearret in listener dy't miskien net bestiet, en in listener sûnder de byhearrende konfiguraasje oan de oare kant akseptearret in ferbining en wurdt dan stil. De folchoarder hjirûnder set de goedkeape kontrôles foarop.
Wit wat de opsje eins tafoeget
Lânseigen IPsec ferfiert fersifere ladingen as IP-protokol 50, sûnder poartnûmer om te tastean. NAT-traversal pakket dy pakketten yn UDP nei poarte 4500, en dêrom neame safolle firewallregels dy poarte. RFC 9329 foeget in streamfoarstelling ta: IKE- en IPsec-pakketten reizgje beide binnen ien TCP-ferbining, meastentiids nei poarte 4500.
De stream is gjin websjinst. In TCP-ferbining nei 4500 seit neat oer HTTP, TLS of proxyfreonlikheid, en in HTTP-proxy op it paad sil meastentiids de raming brekke ynstee fan it te ferfieren.
Foarkontrôle foardat jo de firewall oanreitsje
De standert pleatst TCP as in weromfal foar netwurken dy't it UDP-paad falle litte, net as ferfanging dêrfan. Krij twa feiten fan elke leveransier: de krekte funksjenamme en de ferzje dy't RFC 9329 ymplemintearret ynstee fan in eigen fariant. Labels as IPsec over TCP binne brûkt foar net besibbe ûntwerpen, freegje dus om de dokumintferwizing en de konfiguraasjekaai dy't it oansette. Sûnder beide antwurden moatte jo neat oannimme oer triedkompatibiliteit.
Bewiis it yn in laboratoarium dêr't beide einen fan jo binne. In gateway dy't antwurdet op TCP 4500 mar nea IKE foltôget, is de sinjatuer fan in listener sûnder de byhearrende ynkapseling oan de oare kant, en dat dêr te ûntdekken is folle goedkeaper as yn in wizigingsfinster.
Oan de responder: is der eat oan it harkjen
Begjin mei de socket. ss -ltnp | grep 4500 lit sjen oft der in TCP-listener is en hokker proses dy besit. It ûntbrekken fan in rigel einiget it ûndersyk by de gatewaykonfiguraasje ynstee fan by it netwurk.
As de socket der is, besjoch dan de hânskudding ynstee fan te rieden fan de kliïntkant: tcpdump -ni any 'tcp port 4500'. In foltôge trijewei-hânskudding folge troch stilte betsjut dat de stream akseptearre waard en dat de IKE-útwikseling deryn mislearre, wylst in SYN sûnder antwurd op filterjen of op it ferkearde adres wiist.
Fergelykje mei it UDP-paad yn itselde opnamefinster sadat de twa net betiizge wurde: tcpdump -ni any 'udp port 4500 or proto 50'. Ferkear op protokol 50 of UDP-poarte 4500 wylst jo tinke dat TCP brûkt wurdt, betsjut dat de einen it nea iens waarden oer de weromfal. Meitsje ek opnames op de gateway as jo kinne, want in opname oan de kliïntkant kin net sjen litte wat it fiere ein stjoerd hat.
Akseptearje yn fjouwer aparte stappen
Behannelje it opkommen as fjouwer resultaten. Elk kin om in oare reden mislearje, en ien inkeld slagje of mislearje ferberget hokker it wie, stopje dus by de earste stap dy't mislearret en begjin wer fan boppen.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Stap fjouwer is dejinge dy't oerslein wurdt. In besteande sesje kin trochwurkje op cacheare steat, iepenje dus in nije ferbining nei in host efter de gateway foardat jo de wiziging slute. As stap twa mislearret wylst stap ien slagget, sit it ferskil yn it foarstel of yn de ynkapselingsynstelling, net yn de firewall.
Weromdraaie, en de kosten fan it oan litten
Plen de ûngedienmeitsjen foar de wiziging: set de ynkapselingsopsje op beide einen ôf en befêstigje dat de tunnel weromkomt oer UDP. Hâld de TCP-regel ien resinsjesyklus foar it gefal dat de weromfal wer nedich is, en ferwiderje him dêrnei. In ûnbrûkte listener op 4500 is oerflak sûnder operasjonele wearde.
Let op de prestaasjesinjatuer as it echt wurk draacht. TCP binnen TCP foeget befêstigingslagen ta dy't by ien ferlies fêstrinne, en streams dy't ien ferbining diele kinne inoar blokkearje, mjit dus de applikaasje dy't de tunnel brûke sil ynstee fan in ping.
Akseptaasjelist
Befêstigje de funksjenamme en ferzje oan beide einen, de listener oan de responder, de opname dy't in foltôge hânskudding sjen lit, en de fjouwer stappen registrearre mei tiidstimpels. Foegje de reden fan de weromfal ta oan it wizigingsregister sadat de folgjende yngenieur wit wêrom TCP dêr is. Oefenje it weromdraaie foardat jo it nedich hawwe.
As in stap mislearret, reparearje dan allinnich dy stap. It feroarjen fan de sjifersuite of de identiteitsynstellingen om in transportprobleem te efterfolgjen foeget meastentiids in twadde, net besibbe flater boppe-op de earste ta.