Cén fáth a dteipeann ar IKEv2 ar Android ar phort UDP neamhchaighdeánach

Glacann foirm dhúchasach IKEv2 le seoladh, ní le port. Deimhnigh go dtacaíonn an cliant leis, socraigh dhá phort an fhreastalaí, agus ansin féach ar an bhfrámaíocht agus ar na logaí.

Freagraíonn an geata ar IKEv2 ar UDP 4443 ar chúis éigin, tá réimse dar teideal Server sa phróifíl, clóscríobhann tú ainm an óstach agus an port, agus tuairiscíonn an fón nach féidir leis an bhfreastalaí a shroicheadh nó nach féidir leis an seoladh a réiteach. Níl aon rud á bhlocáil. Tá foirm dhúchasach Android ag súil le hóstach, agus is amhlaidh freisin ar Windows. Is cumas cliaint é port saincheaptha sula bhfuil sé ina shocrú freastalaí, agus ní ligeann ach roinnt cliant duit é a chur in iúl. Téigh trí na trí chuid in ord: cad is féidir leis an gcliant a rá, cad air a bhfuil an freastalaí ag éisteacht, agus an bhfrámaíonn an dá cheann na paicéid ar an mbealach céanna.

Cad a sheol an fón i ndáiríre

Réitítear sreang host:port i réimse atá ceaptha d’ainm mar ainm. Ní thugann an réiteoir aon rud ar ais do vpn.example.net:4443, agus is teip réitithe ainm nó dodhrochta an earráid a fheiceann tú, ní am istigh ar phort. Tá tábhacht leis an idirdhealú sin, mar ní dheiseoidh iarracht eile le hainm níos giorra ná le líonra eile riamh sreang nach féidir leis an bhfoirm a pharsáil.

Tá próifíl dhúchasach IKEv2 ar Android, cosúil le cliant VPN ionsuite Windows, suite ar na poirt chaighdeánacha IKE. Ní thaispeánann ceachtar acu réimse poirt, agus ní chuireann aon eagarthóireacht próifíle ceann leis. Má tá éisteoir an oibreora ar 4443 i ndáiríre, is é an cliant ionsuite an uirlis mhícheart, ní uirlis atá cumraithe go dona.

Úsáid cliant a thaispeánann an port

Déanann cliant strongSwan do Android doiciméadú ar phort freastalaí is féidir a chumrú sna socruithe próifíle ardleibhéil, agus is ar an ábhar sin a thagann sé i mbeagnach gach oideas a oibríonn don dearadh seo. Baineann an tacaíocht sin leis an gcliant sin: b’fhéidir nach dtaispeánfaidh aip IKEv2 eile, nó forc soláthraí den aip chéanna, an réimse céanna cé go dtacaíonn an daemon strongSwan bunúsach leis.

Iarr ar an oibreoir an tsraith iomlán a fháil in éineacht: ainm an gheata, port UDP, modh fíordheimhniúcháin agus féiniúlacht an fhreastalaí a chaithfidh an cliant a bheith ag súil léi. Ní cúis é port saincheaptha chun seiceáil teastas a mhúchadh ná prótacail a athrú. Cuir isteach an port san áit a bhfuil súil ag an gcliant suite leis, agus mura bhfuil a leithéid de réimse ag an gcliant sin, is cliant ceadaithe eile an freagra seachas bealach timpeall buailte.

Tá dhá phort ag an bhfreastalaí, agus caithfidh an dá cheann teacht le chéile

Tosaíonn IKE ar UDP 500, agus bogann trasnú NAT IKE agus ESP imfhálaithe go UDP 4500 de ghnáth. Socruithe ar leith iad seo in strongSwan, mar sin caithfidh freastalaí a bogadh go port saincheaptha amháin an dá cheann a athrú go dtí an luach céanna:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Le port amháin don dá ról, caithfidh an daemon IKE a idirdhealú ó ESP-in-UDP ar an soicéad céanna, rud a dhéanann sé tríd an marcóir ceithre bheart nach ESP é agus a thagann roimh theachtaireacht IKE. Sin é an fáth nach féidir le cliant idirbheartaíocht a dhéanamh ar phort saincheaptha agus ansin leanúint go ciúin ar 4500, agus an fáth a bhfolaíonn an frása “ní gá ach an port a athrú” ceanglas frámaíochta.

Ní éisteoir é atreorú

Is é atreorú 4443 chuig gnáthéisteoir IKE an mód teipthe a bhféachann sé beagnach rathúil. Tagann an chéad mhalartú, freagraíonn an freastalaí, agus ansin stoptar an nasc nó athghintear eochracha chun faic, mar go n-imíonn an freagra ó phort eile agus nach dtagann an trácht imfhálaithe níos déanaí riamh leis an riocht a chruthaigh an dá cheann. Táirgeann riail a athscríobhann port an chinn scríbe gan an t-éisteoir a bhogadh go díreach an toradh leathoscailte seo.

Caithfidh an cosán UDP a cheadú ó cheann go ceann freisin. Ní deir sé faic faoi IKEv2 ar phort UDP go dtéann TCP 443 trí líonra óstáin nó oibreora, fiú le huimhir chéanna. San áit nach gceadaítear ach TCP 443, ní dhéanann port UDP saincheaptha HTTPS de IKEv2, agus b’fhéidir gurb é an freagra ceart cosán rochtana eile seachas turgnamh poirt eile.

Deighil na trí chéim agus tú ag tástáil

Gabhtar ar an bhfreastalaí agus an cliant ag iarraidh uair amháin. Is ceist críochphointe nó balla dóiteáin é iarratas nach dtagann riamh; is ceist éisteora nó beartais é iarratas a thagann gan freagra; is í ceist na frámaíochta nó na féiniúlachta freagra a leanann ciúnas.

tcpdump -ni eth0 -vv udp port 4443

Ansin léigh teachtaireacht an chliaint seachas a tháscaire rothlach. Ciallaíonn earráid togra nach n-aontaíonn na halgartaim, ciallaíonn teip fhíordheimhniúcháin nach n-aontaíonn na féiniúlachtaí nó na teastais, agus ciallaíonn athsheachadtaí arís agus arís eile gan freagra nach bhfuil aon rud ag freagairt ar an port sin. Tástáil céim amháin ag an am agus athraigh réimse amháin idir iarrachtaí; cuireann doiciméadú strongSwan ar thrasnú NAT síos ar an marcóir agus ar iompar an phoirt a thaispeánann an gabháil duit.

Ailt ghaolmhara