Is prótacal IP 50 é ESP, ní port TCP 50: cad ba cheart a cheadú
Is spásanna ainmneacha éagsúla iad uimhreacha prótacail agus uimhreacha port. Ní cheadaíonn riail do phort TCP 50 aon rud, agus aistríonn NAT traversal ESP go UDP 4500.
Iarrann foirmeacha balla dóiteáin port TCP, agus is é 50 an iontráil shoiléir. Ní cheadaíonn an iontráil sin aon rud, mar is é ESP prótacal IP uimhir 50 agus ní portanna iad uimhreacha prótacail. Roinneann an dá spás ainmneacha slánuimhreacha beaga agus aon rud eile, agus fanann an earráid dofheicthe go dtí go gcríochnaíonn IKE agus nach dtagann an trácht cosanta riamh.
Dhá spás ainmneacha a roinneann uimhreacha beaga
Iompraíonn ceannteideal IP réimse prótacail a ainmníonn an rud a thagann ina dhiaidh: 6 do TCP, 17 do UDP, 1 do ICMP, 50 do ESP, 51 do AH. Iompraíonn ceannteideal TCP nó UDP uimhreacha port, a roghnaíonn próiseas ar an óstach ceann scríbe. Is luachanna neamhghaolmhara iad prótacal 50 agus port TCP 50, ach is féidir le bosca dialóige iad a dhéanamh dealraitheach idirmhalartaithe.
Sin é an fáth nach féidir le riail atreoraithe port ESP dúchais a chur in iúl. Níl aon phort ceann scríbe ESP le hatreorú, agus níl aon stór focal ag feiste nach dtuigeann ach rialacha port don phacáid sin. Ainmníonn an riail cheart an prótacal IP ina ionad. Is é aon bhosca dialóige port an uirlis mhícheart don phacáid sin.
Tá an dara leath ag an mearbhall. Nuair a bhíonn an phacáid criptithe, bíonn gach rud istigh inti teimhneach, lena n-áirítear ceannteideal TCP an chnaip cheangail bhunaidh. Bíonn balla dóiteáin a scrúdaíonn portanna sa phacáid sin ag féachaint ar an gceannteideal seachtrach, nach bhfuil aon phort le scrúdú aige sa chás dúchais.
ESP dúchais, ansin an rogha eile ionchochlaithe
Iompraítear ESP dúchais go díreach mar phrótacal IP, rud atá chomh héifeachtach agus atá sé deacair. Tá sé éifeachtach mar nach bhfuil aon cheannteideal breise ann, agus deacair mar nach féidir le haon fheiste a dhéanann aistriú seoltaí agus port é a leanúint. Tá NAT traversal ann chun é sin a réiteach, trí phacáid ESP a fhilleadh taobh istigh de UDP ionas go mbeidh portanna ag an aistritheoir le hathscríobh.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Is imscaradh malartach den chanáil sonraí chéanna iad an dá fhoirm, ní sraitheanna d’aon cheann. Ní cheadaíonn ceadú ESP dúchais an fhoirm ionchochlaithe, agus ní cheadaíonn ceadú UDP 4500 an trácht dúchais, mar sin caithfidh tacar rialacha teacht leis an imscaradh seachas an dá rud a chlúdach trí thimpiste.
Tá tábhacht leis an mbraith freisin anseo. Cinneann na foircinn idir na foirmeacha le linn na caibidlíochta, agus tarlaíonn an t-aistriú de ghnáth nuair a bhraitear NAT eatarthu. Mar sin féin féadann cosán a athraíonn tar éis an tollán a bhunú an trácht a bhogadh go spás ainmneacha nár chlúdaigh do rialacha riamh.
Léigh cén fhoirm a úsáideann an cnaip cheangail i ndáiríre
Fiafraigh den fhoirceann seachas buille faoi thuairim a thógáil ón mballa dóiteáin. Ar Linux tuairiscíonn an iontráil stáit an bhfuil an chomhlachas ag úsáid ionchochlaithe UDP agus cé na portanna atá i gceist. Freagraíonn gabháil pacáid an cheist chéanna ón sreang, agus tá an dá rud níos tapúla ná tacar rialacha a léamh agus súil a bheith agat.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Taispeánann an chéad ordú cineál ionchochlaithe nuair a úsáidtear NAT traversal agus rud ar bith nuair nach n-úsáidtear. Taispeánann an dara ceann cé acu den dá fhoirm a thrasnaíonn an comhéadan i ndáiríre, agus réitíonn sé sin díospóireachtaí faoi chumraíocht a bhféachann ceart ar pháipéar.
Baineann an fhrithfhianaise leis an gcéim chéanna. Deir riail a thuairiscíonn nialas meaitseála leat nár shroich an phacáid riamh í, agus is ceist ródaithe nó roghnóra é sin, ní ceist balla dóiteáin.
Ansin deimhnigh an chanáil rialaithe ar leithligh. Tá a portanna féin agus a logaí féin ag IKE, agus is é caibidlíocht chríochnaithe gan sonraí go díreach an deighilt a bhfuil an t-alt seo faoi.
Scríobh an riail sa spás ainmneacha ceart
Is treoracha éagsúla iad riail prótacail agus riail port, mar sin caithfidh an uirlis an ceann atá i gceist agat a chur in iúl. In nftables tá meaitseáil prótacail follasach, agus faigheann an rogha eile ionchochlaithe a riail UDP féin. Coinnigh an dá riail in aice a chéile ionas go mbeidh an péire le feiceáil agus tú ag athbhreithniú.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptSeas in aghaidh an mhealladh chun ceachtar riail a leathnú chun mí-dhiagnóis a chúiteamh. Réitíonn cead do gach rud don phrótacal ESP ar gach comhéadan, nó cead UDP ó áit ar bith go háit ar bith, comhartha agus baineann sé an smacht a bhí á chumrú agat. Is beagnach i gcónaí a dhóthain an sreabhadh cúng tacaíochta a luaithe is eol an fhoirm.
Ar deireadh, coinnigh na sraitheanna díreacha nuair a oibríonn an tollán agus nach n-oibríonn an feidhmchlár. Teastaíonn comhthreo, cosán fillte agus polasaí a admhaíonn iad ó na pacáidí a shroicheann an t-airseal fós, agus ní chuireann aon cheann acu sin i riail ESP in iúl. Míníonn an port atá ar iarraidh teip ar leith, ní gach teip IPsec. Coinnigh deisiú na rialach agus an tseiceáil ródaithe mar dhá chonclúid ar leith.
Taifead an fhoirm a chonaic tú, an riail prótacail a chuir tú leis agus an t-áiritheoir a chonaic tú ina dhiaidh. Trí líne, agus féadann an chéad duine eile idirdhealú a dhéanamh idir earráid spáis ainmneacha agus earráid ródaithe i nóiméad in ionad tráthnóna.