Protokol 47 tsjin TCP-poarte 47: twa koppen, twa regels

Hotelnettwurken en konferinsjefirewalls litte faak in eigen tastienfak sjen, en immen typt 47 deryn yn 'e hope dat PPTP wurkje sil. De regel wurdt oanmakke, de tunnel mislearret noch altyd, en de folgjende poging brûkt in oar nûmer. Wat ferkeard gie sit yn it pakket sels: IPv4 hat in protokolfjild dat neamt wat nei de IP-kop komt, wylst TCP en UDP poartefjilden hawwe dy't pas bestean as jo binnen ien fan dy koppen binne. It binne net twa staveringen fan deselde tastimming.

De IPv4-kop neamt it folgjende protokol

It protokolfjild is ien byte yn 'e IPv4-kop, en it hâldt in nûmer dat de lading beskriuwt: 6 foar TCP, 17 foar UDP, 47 foar GRE, 50 foar ESP. Alles dat pakketten filteret lêst dy wearde foardat it djipper sjocht, want de djippere kop hat pas sin as it type bekend is. Feroarje letter yn it petear in poarte, en dit fjild is net ferhuze.

In regel skreaun tsjin protokol 47 beskriuwt dus de IP-laach. Gjin poarte docht hielendal mei oan 'e beslissing.

Poarten bestean binnen TCP en UDP, nearne oars

Poarten binne sechstjin-bits identifiers binnen TCP- en UDP-koppen, en har taak is petearen te skieden dy't ien adres diele. In GRE-kop draacht in protokoltypewearde, faak in EtherType, plus opsjonele kaaien foar multiplexing. Dêrom neamt de útdrukking poarte 47 neat dat in GRE-pakket oerienkomme kin.

Firewall-ynterfaces ferskille yn hoefolle hjirfan se sjen litte. Guon akseptearje in protokolnûmer, guon biede in neamde list, en in pear akseptearje allinne TCP of UDP mei poarten.

PPTP brûkt beide lagen tagelyk

PPTP is it dúdlikste foarbyld, want it ferdielt syn wurk bewust oer de beide. De kontrôleferbining is in TCP-sesje nei poarte 1723, en it datapaad is GRE, protokol 47, sûnder dat earne in poarte belutsen is. In firewall dy't 1723 tastean en fierder neat lit de ûnderhanneling begjinne en smyt dan de lading fuort. De tunnel liket nei de autentikaasje te hingjen ynstee fan dat er mislearret te ferbinen, en dêrom wurdt it symptoom faak as in wachtwurdprobleem melden.

Lês de twa rigen apart as jo de regel skriuwe, en kontrolearje elk tsjin 'e syntaksis fan 'e leveransier. Ien rige hat in poarte nedich, de oare hat in protokolnûmer nedich, en gjin inkele yngong dekt beide.

Wêrom in poarte-oerstjoerside GRE net útdrukke kin

In oerstjoerformulier dat allinne TCP en UDP akseptearret kin GRE net beskriuwe, hoe't it formulier ek hjit. Adresoersetting foeget in twadde swierrichheid ta, want GRE hat gjin poarten en de oersetter moat ynstee dêrfan it oprop-identifikaasje folgje. Guon consumer-routers leverje in helper dy't dat docht; in protte net, en gjin ekstra TCP-tastienyngong sil dat gedrach meitsje.

Wêr't in moderne tunnel de wiere eask is, kies in ûntwerp dat bewust TCP of UDP brûkt ynstee fan te hoopjen dat in oersetter goed riedt.

Enkapsulaasje bepaalt wat it filter sjocht

Enkapsulaasje feroaret it bûtenste pakket, en it bûtenste pakket is wat in regel oerienkomt. Native ESP is protokol 50, wylst NAT-trochgong ESP yn UDP 4500 ynpakt sadat it adresoersetting oerlibbet. In filter dat UDP 4500 tastean sjocht nea protokol 50, en in filter skreaun foar protokol 50 komt nea oerien mei de ynpakte foarm.

Freegje hokker enkapsulaasje de klant en de gateway ôfspraken hawwe, en skriuw dan de regel foar krekt dy bûtenste foarm en neat mear.

Skriuw de regel sadat immen him kontrolearje kin

Druk elke regel út as adresfamylje, bûtenste protokol, transportpoarten as dy der binne, rjochting en beide einpunten. In beoardieler kin dy sin ferlykje mei in pakketopname en ta in oardiel komme. In oanwizing om 47 iepen te meitsjen kin nimmen kontrolearje, en dêrom oerlibbet er jierren yn runbooks.

Foegje de test ta dy't dat bewissiget: ferbyn wylst jo op 'e bûtenste ynterface opnimme, en befêstigje it bûtenste protokol en de poarte dy't wier yn it spoar ferskine.