Cén fáth a dteastaíonn UDP 1701 ó L2TP/IPsec chomh maith le IPsec

Bristear naisc L2TP ag ballaí dóiteáin a ligeann IKE agus ESP isteach ach nach ligeann UDP 1701 isteach, ar bhealach a bhféachann sé le fadhb dintiúirí. Is é an fáth go bhfuil L2TP ina dhara prótacal a thaistealaíonn taobh istigh den chéad cheann. Iompraíonn IPsec agus fíoraíonn sé an mhalartú, agus ritheann L2TP a thollán féin thar UDP 1701, a chaithfidh an stac áitiúil a sheachadadh fós. Míníonn a fhios agat cá bhfeictear gach ceanntásc cén gléas a dteastaíonn cén riail uaidh.

Dhá phrótacal, dhá thacar port

Úsáideann nasc L2TP/IPsec IKE ar UDP 500, trasnú NAT ar UDP 4500 san áit a bhfuil aistriúchán, agus ESP mar phrótacal IP 50 san áit nach bhfuil. Is prótacal tolláin é L2TP féin ar UDP 1701, agus ritheann sé tar éis do IPsec an piara a fhíorú. Teipeann ar an dá leath ar bhealaí éagsúla, agus tagann na línte logála a thuairiscíonn iad ó chomhpháirteanna éagsúla. Cruthaíonn sraith rialacha nach gclúdaíonn ach an chéad leath nasc a dhéanann idirbheartaíocht agus a fhaigheann bás ansin ag céim an tolláin.

Déanann uimhreacha port cur síos ar fhoircinn iompair, agus ní port ar bith é ESP. Sin é an fáth nach féidir le comhéadan balla dóiteáin nach dtairgeann ach rialacha TCP agus UDP polasaí IPsec iomlán a chur in iúl. Caithfear prótacal 50 a cheadú mar phrótacal, agus ní tharlóidh riail nach luann ach UDP riamh air.

Míníonn an cumhdach an port

Ar an sreang, taispeánann nasc L2TP/IPsec IKE ar 500 agus ESP cumhdaithe ar 4500 de ghnáth. Suíonn ceanntásc UDP 1701 taobh istigh den pháigh chosanta, agus sin é an fáth nach dtaispeánann gabháil ar an gcomhéadan seachtrach é. Caithfidh an t-óstach áitiúil an datagram sin a sheachadadh chuig démon L2TP fós, agus tarlaíonn an seachadadh tar éis dí-chochallaithe. Mar sin baineann an riail 1701 le balla dóiteáin an chríochphointe féin, fiú nuair nach bhfeiceann aon bhosca idirghabhála an port riamh.

Míníonn ord na próiseála an chuid is mó den mhearbhall. Má chuireann an stac polasaí IPsec i bhfeidhm roimh scagaire an óstaigh, meaitseáiltear an paicéad L2TP dí-chochallaithe mar UDP 1701; má tá an t-ord droim ar ais, is iad na poirt sheachtracha a fheiceann an tsraith rialacha. Tá an dá iompar ann go praiticiúil, agus sin é an fáth go bhfeictear an tsraith rialacha chéanna ag obair ar ardán amháin agus ag teip ar ardán eile.

Seiceáil an cosán in ord

Gabhadh an comhéadan seachtrach ar dtús agus deimhnigh go bhfuil IKE agus ESP cumhdaithe ag gluaiseacht sa dá threo. Ansin seiceáil áirimh an bhalla dóiteáin áitiúil don trácht dí-chochallaithe. Tá tábhacht leis an ord, mar ciallaíonn gabháil nach dtaispeánann aon rud go bhfuil an fhadhb níos airde ná an t-óstach.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Deimhníonn an gabháil an chéad leath den mhalartú agus taispeánann sé an bhfuil an piara ag freagairt. Taispeánann liosta na rialacha an bhfuil riail 1701 ann agus cá seasann sí i leith aon pholasaí scoir. Deimhníonn liosta na soc duit go bhfuil démon L2TP ceangailte agus ag éisteacht, rud a chuireann seirbhís nár thosaigh riamh as an áireamh. Léigh an trí rud sula n-athraíonn tú riail, mar tá an gearán céanna ón úsáideoir ag éisteoir atá ar iarraidh agus ag port scagtha.

Cad nach féidir le scanadh port a thaispeáint

De ghnáth ní thuairiscíonn scanadh seachtrach ar UDP 1701 i gcoinne freastalaí atá cumraithe i gceart aon rud, agus sin an toradh a bhfuiltear ag súil leis. Níl an port nochtaithe don idirlíon; ní shroichtear é ach amháin tar éis do IPsec an piara a fhíorú. Má chaithtear leis an toradh dúnta mar locht, osclaítear port ar chóir a choinneáil dúnta. Ní féidir leis an scanadh féachaint isteach sa tollán a thuilleadh ná mar is féidir leis trácht na haipe a fheiceáil.

Tástáil le cliant fíor ina ionad, agus léigh an chéim a shroicheann sé. Má dhéanann an nasc idirbheartaíocht agus má stopann sé ansin, is é démon L2TP nó an scagaire áitiúil an t-amhrastach; mura ndéanann sé idirbheartaíocht riamh, is iad na poirt sheachtracha atá ciontach. Baintear an chuid is mó den bhuille faoi thuairim faoi cén riail le cur leis leis an scoilteadh amháin sin, agus déanann cisealú an phrótacail é intuartha seachas mistéireach.