IKE sobre TCP 4500: comprobe os dous extremos antes da regra de porto
A encapsulación TCP négóciana os dous extremos, non a concede unha regra de devasas. Execute a comprobación do listener, a captura e as catro etapas de aceptación en orde.
Os tíckets de soporte adoitan chegar co cambio de devasas xa aprobado e o túnel aínda negándose a levantarse. Ese é o resultado esperado cando só un extremo ten a función: a encapsulación TCP segundo o RFC 9329 debe implementarse e configurarse nos dous extremos, e o acordo ocorre dentro da conexión antes de que poida moverse calquera tráfico protexido. Abrir un porto anuncia un listener que pode non existir, e un listener sen a configuración correspondente no outro lado acepta unha conexión e despois cala. A secuencia seguinte pon primeiro as comprobacións baratas.
Saiba que engade realmente a opción
O IPsec nativo transporta as cargas cifradas como protocolo IP 50, sen número de porto que permitir. O NAT traversal envolve eses paquetes en UDP cara ao porto 4500, e por iso tantas regras de devasas mencionan ese porto. O RFC 9329 engade unha representación de fluxo: os paquetes IKE e IPsec viaxan ambos dentro dunha soa conexión TCP, normalmente cara ao porto 4500.
O fluxo non é un servizo web. Unha conexión TCP ao 4500 non di nada sobre HTTP, TLS ou amabilidade con intermediarios, e un intermediario HTTP na ruta normalmente romperá o encadramento en lugar de transportalo.
Comprobación previa antes de tocar o devasas
O estándar sitúa TCP como alternativa para redes que descartan a ruta UDP, non como substituto dela. Obteña dous datos de cada provedor: o nome exacto da función e a versión que implementa o RFC 9329 en lugar dunha variante propietaria. Etiquetas como IPsec over TCP usáronse para deseños non relacionados, así que pida a referencia do documento e a clave de configuración que a activa. Sen ambas respostas, non supoña nada sobre a compatibilidade no cable.
Demóstroo nun laboratorio onde os dous extremos sexan seus. Unha pasarela que responde ao TCP 4500 pero nunca completa IKE é a sinatura dun listener sen a encapsulación correspondente no outro lado, e descubrilo alí é moito máis barato que durante unha ventá de cambio.
No respondedor: hai algo escoitando
Empece polo socket. ss -ltnp | grep 4500 mostra se existe un listener TCP e que proceso o posúe. A ausencia dunha liña remata a investigación na configuración da pasarela e non na rede.
Se o socket está aí, observe o apretón de mans en lugar de adiviñar desde o lado do cliente: tcpdump -ni any 'tcp port 4500'. Un apretón de mans de tres vías completado seguido de silencio significa que o fluxo se aceptou e que o intercambio IKE dentro del fallou, mentres que un SYN sen resposta apunta ao filtrado ou ao enderezo incorrecto.
Compare coa ruta UDP na mesma ventá de captura para que as dúas non se confundan: tcpdump -ni any 'udp port 4500 or proto 50'. Tráfico no protocolo 50 ou no porto UDP 4500 mentres cre que se usa TCP significa que os extremos nunca acordaron a alternativa. Capture tamén na pasarela se pode, porque unha captura do lado do cliente non pode mostrar que enviou o extremo remoto.
Acepte en catro etapas separadas
Trate o levantamento como catro resultados. Cada un pode fallar por un motivo distinto, e un só aprobado ou fallido oculta cal foi, así que detéñase na primeira etapa que falle e comece de novo desde arriba.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
A cuarta etapa é a que se salta. Unha sesión existente pode seguir funcionando con estado na caché, así que abra unha conexión nova a un servidor detrás da pasarela antes de pechar o cambio. Se a segunda etapa falla mentres a primeira pasa, o desacordo está na proposta ou no axuste de encapsulación, non no devasas.
Reversión e o custo de deixalo activado
Planifique a desfacer antes do cambio: desactive a opción de encapsulación nos dous extremos e confirme que o túnel volve por UDP. Manteña a regra TCP un ciclo de revisión por se a alternativa volve facer falta e despois retírea. Un listener sen uso no 4500 é superficie sen ningún valor operativo.
Vixíe a sinatura de rendemento cando leve traballo real. TCP dentro de TCP engade capas de confirmación que se atascan cunha soa perda, e os fluxos que comparten unha conexión poden bloquearse entre si, así que mida a aplicación que usará o túnel en lugar dun ping.
Lista de aceptación
Confirme o nome e a versión da función nos dous extremos, o listener no respondedor, a captura que mostra un apretón de mans completo e as catro etapas rexistradas con marcas de tempo. Engada o motivo da alternativa ao rexistro do cambio para que o seguinte enxeñeiro saiba por que está TCP. Ensae a reversión antes de necesitala.
Se algunha etapa falla, repare só esa etapa. Cambiar o conxunto de cifrado ou os axustes de identidade para perseguir un problema de transporte adoita engadir un segundo fallo non relacionado encima do primeiro.