Úsáideann IKEv2 UDP 500 agus 4500: cé acu a iompraíonn na sonraí?

Nuair a osclaítear UDP 500 sa bhalla dóiteáin, is féidir leis an tollán idirbheartaíocht a dhéanamh, agus ansin stopann an nasc ag seoladh tráchta. Bhí an liosta portanna neamhiomlán, ní mícheart. Tosaíonn IKEv2 ar shocóg amháin agus leanann sé ar shocóg eile i go leor imscartha fíor, agus b'fhéidir nach port ar chor ar bith é an t-ualach. Míníonn léamh na gcéimeanna in ord cé acu riail atá ar iarraidh.

Dhá phort, dhá jab

Tosaíonn IKEv2 le malartú eochrach ar UDP 500, áit a ndéanann na piaraí fíordheimhniú agus a mbunaíonn siad comhlachas slándála don tollán. Is ábhar ar leith é an cosán sonraí a leanann: féadfaidh sé a bheith ina ESP dúchasach, ar uimhir phrótacail IP é seachas port, nó trácht atá cuachta in UDP ar 4500. Is é an t-idirdhealú sin in athbhreithniú balla dóiteáin an difríocht idir tollán a idirbheartaíonn agus tollán a oibríonn. Iompraíonn socóg amháin rialtán agus an ceann eile an t-ualach.

Sin é an fáth a dtáirgeann riail nach gceadaíonn ach 500 an tsiomptóm is mearbhallaí sa teaghlach prótacal ar fad: éiríonn leis an idirbheartaíocht agus ní leanann aon rud úsáideach. Taispeánann an staid piara, taispeánann an log IKE SA bunaithe, agus téann an feidhmchlár thar am fós. Baineann an cead atá ar iarraidh le sruth eile seach an ceann a d'éirigh leis anois díreach.

Cén fáth a bhfuil 4500 ann ar chor ar bith

Ní féidir le go leor gléasanna NAT prótacal seach TCP nó UDP a sheoladh ar aghaidh, agus athscríobhann cuid acu seoltaí ar bhealaí a bhriseann seiceáil sláine ESP. Réitíonn cuachadh ESP taobh istigh de UDP an dá fhadhb, ar chostas ceanntásc breise agus dara port a chaithfear a cheadú. Is é an cuachadh sin an chúis a bhfuil an dara port ann ar chor ar bith.

Nuair a aimsítear NAT, bogann IKE féin go 4500 freisin ionas go roinnfidh an trácht go léir cosán amháin tríd an aistritheoir. Déanann marcóir ceithre bheart nach ESP é idirdhealú idir teachtaireachtaí rialaithe agus sonraí ar an socóg sin. Is cinneadh prótacail é an t-athrú, ní rogha riarthóra.

Cá n-athraíonn an port foinse

Féadfaidh aistritheoir port foinse an chliaint a athscríobh, mar sin ní thagann an tuple a fheiceann an freastalaí leis an tuple ar an gcliant. Féach ar dhá thaobh gach léim NAT sula gcinnfidh tú go bhfuil riail á neamhaird. Féadfaidh fabhtcheartú ar an gcliant amháin riail a chruthú a bhféachann sé ceart uirthi agus a theipeann fós.

Is féidir le feidhmiúcháin atá cumasach do MOBIKE bogadh go 4500 freisin gan NAT a bheith aimsithe, agus cuireann roinnt imscartha an cosán sin i bhfeidhm d'aon ghnó. Is fianaise ar chinneadh é 4500 a fheiceáil mar sin, ní cruthúnas ar ródaire baile.

Seiceáil an dá shruth ag gach teorainn

Siúil trí theorainn: líonra an chliaint, aon bhalla dóiteáin idirmheánach, agus an freastalaí. Teastaíonn na sreafaí a dhoiciméadaíonn an t-imscarthu ó gach ceann acu, ní na sreafaí ó alt faoi chás eile.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Is meaitseáil phrótacail í an líne ESP i liosta balla dóiteáin, mar sin ní chlúdaíonn riail phoirt í riamh. Má úsáideann an t-oibreoir port saincheaptha, lean an chumraíocht dhoiciméadaithe ag an dá cheann, mar ní féidir le cliant éisteoir a chruthú ar an bhfreastalaí trí uimhir aithnidis a roghnú.

Taifead cá stop an idirbheartaíocht agus ar suiteáladh comhlachas slándála linbh, mar scarann an péire sin cosán blocáilte ó earráid fhíordheimhniúcháin nó bheartais. Ansin déan an tástáil arís le fíorú freastalaí cumasaithe, mar ní fíordheimhniú é inrochtaineacht. Scarann an chéim dheireanach sin port ceadaithe ó phiara iontaofa.