IKE thar TCP 4500: seiceáil an dá cheann roimh an riail phoirt
Idirbheartaíonn an dá cheann an t-ionchapslú TCP, ní thugann riail balla dóiteáin é. Rith an tseiceáil éisteora, an gabháil agus na ceithre chéim ghlactha in ord.
Tagann ticéid tacaíochta go minic agus an t-athrú balla dóiteáin ceadaithe cheana féin agus an tollán fós ag diúltú éirí. Is é sin an toradh a bhfuiltear ag súil leis nuair nach bhfuil an ghné ach ag ceann amháin: caithfear ionchapslú TCP de réir RFC 9329 a chur i bhfeidhm agus a chumrú ag an dá cheann, agus tarlaíonn an comhaontú taobh istigh den nasc sula féadann aon trácht cosanta bogadh. Fógraíonn oscailt poirt éisteoir nach bhfuil ann b'fhéidir, agus glacann éisteoir gan an chumraíocht mheaitseála ar an taobh eile nasc agus éiríonn sé ina thost ansin. Cuireann an seicheamh thíos na seiceálacha saora ar dtús.
Bíodh a fhios agat cad a chuireann an rogha leis i ndáiríre
Iompraíonn IPsec dúchasach na hualaí criptithe mar prótacal IP 50, gan aon uimhir phoirt le ceadú. Filltear na paicéid sin in UDP chuig port 4500 le NAT traversal, agus is é sin an fáth a luann an oiread sin rialacha balla dóiteáin an port sin. Cuireann RFC 9329 léiriú srutha leis: taistealaíonn paicéid IKE agus IPsec araon laistigh d'aon nasc TCP amháin, de ghnáth chuig port 4500.
Ní seirbhís ghréasáin an sruth. Ní deir nasc TCP chuig 4500 aon rud faoi HTTP, TLS nó faoi chairdiúlacht seachfhreastalaí, agus is gnách go mbrisfidh seachfhreastalaí HTTP ar an gcosán an frámaíocht seachas í a iompar.
Réamhsheiceáil sula mbaineann tú leis an mballa dóiteáin
Cuireann an caighdeán TCP mar rogha chúltaca do ghréasáin a chaitheann an cosán UDP amach, ní mar mhalairt air. Faigh dhá fhíric ó gach soláthraí: ainm cruinn na gné agus an leagan a chuireann RFC 9329 i bhfeidhm seachas malairt dhílis. Baineadh úsáid as lipéid mar IPsec over TCP le haghaidh dearaí neamhghaolmhara, mar sin iarr an tagairt doiciméid agus an eochair chumraíochta a chasann air é. Gan an dá fhreagra, ná glac aon rud faoi chomhoiriúnacht ar an sreang.
Cruthaigh é i saotharlann ina bhfuil an dá cheann agatsa. Is é an t-éisteoir gan an t-ionchapslú meaitseála ar an taobh eile comhartha geata a fhreagraíonn ar TCP 4500 ach nach gcríochnaíonn IKE riamh, agus is i bhfad níos saoire é sin a aimsiú ansin ná le linn fuinneog athraithe.
Ar an bhfreagróir: an bhfuil rud éigin ag éisteacht
Tosaigh leis an socóid. Taispeánann ss -ltnp | grep 4500 an bhfuil éisteoir TCP ann agus cén próiseas a shealbhaíonn é. Críochnaíonn easpa líne an t-imscrúdú ag cumraíocht an gheata seachas ag an líonra.
Má tá an socóid ann, breathnaigh ar an gcroitheadh láimhe seachas buille faoi thuairim ó thaobh an chliaint: tcpdump -ni any 'tcp port 4500'. Ciallaíonn croitheadh láimhe trí bhealach críochnaithe agus tost ina dhiaidh gur glacadh leis an sruth agus gur theip ar an malartú IKE istigh ann, agus cuireann SYN gan fhreagra in iúl go bhfuil scagadh ann nó go bhfuil an seoladh mícheart.
Déan comparáid leis an gcosán UDP san fhuinneog ghabhála chéanna ionas nach meascfaí an dá rud: tcpdump -ni any 'udp port 4500 or proto 50'. Ciallaíonn trácht ar phrótacal 50 nó ar phort UDP 4500 agus tú ag ceapadh go bhfuil TCP in úsáid nár aontaigh na cinn riamh ar an gcúltaca. Déan gabháil ar an ngeata freisin más féidir, mar ní féidir le gabháil ó thaobh an chliaint a thaispeáint cad a sheol an ceann i bhfad i gcéin.
Glac i gceithre chéim ar leith
Caith leis an ardú mar cheithre thoradh. Féadfaidh gach ceann teip ar chúis éagsúil, agus cealaíonn aon phas nó teip amháin cé acu a bhí ann, mar sin stad ag an gcéad chéim a theipeann agus tosaigh arís ón mbarr.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Is í an ceathrú céim an ceann a ndéantar dearmad uirthi. Féadfaidh seisiún atá ann cheana leanúint ar aghaidh ag obair ar staid chuasaithe, mar sin oscail nasc úr chuig óstach taobh thiar den gheata sula ndúnann tú an t-athrú. Má theipeann ar an dara céim agus an chéad chéim ag pasáil, tá an easaontas sa togra nó sa socrú ionchapslaithe, ní sa bhall dóiteáin.
Aisíomháil, agus costas a fhágáil ar siúl
Pleanáil an cealú roimh an athrú: múch an rogha ionchapslaithe ag an dá cheann agus deimhnigh go bhfilleann an tollán ar UDP. Coinnigh an riail TCP ar feadh aon timthriall athbhreithnithe ar eagla go mbeidh an cúltaca ag teastáil arís, ansin bain í. Is achar gan aon luach oibríochta é éisteoir gan úsáid ar 4500.
Faire ar an gcomhartha feidhmíochta nuair a iompraíonn sé fíorobair. Cuireann TCP laistigh de TCP sraitheanna admhála leis a stopann ar aon chaillteanas amháin, agus féadfaidh sruthanna a roinneann aon nasc bac a chur ar a chéile, mar sin tomhais an feidhmchlár a úsáidfidh an tollán seachas ping.
Liosta glactha
Deimhnigh ainm agus leagan na gné ag an dá cheann, an t-éisteoir ar an bhfreagróir, an ghabháil a thaispeánann croitheadh láimhe críochnaithe, agus na ceithre chéim taifeadta le stampaí ama. Cuir cúis an chúltaca leis an taifead athraithe ionas go mbeidh a fhios ag an innealtóir seo chugainn cén fáth a bhfuil TCP ann. Cleacht an aisíomháil sula mbeidh sí ag teastáil uait.
Má theipeann ar aon chéim, deisigh an chéim sin amháin. Is gnách go gcuireann athrú an tsraith shifre nó na socruithe féiniúlachta chun fadhb iompair a sheilg an dara teip neamhghaolmhar ar bharr an chéad cheann.