IKEv2 UDP 500 અને 4500 વાપરે છે: ડેટા કયો પોર્ટ વહન કરે છે?

ફાયરવોલમાં UDP 500 ખોલવાથી ટનલ વાટાઘાટ કરે છે, અને પછી કનેક્શન ટ્રાફિક પસાર કરવાનું બંધ કરે છે. પોર્ટની યાદી અધૂરી હતી, ખોટી નહીં. IKEv2 એક સોકેટ પર શરૂ થાય છે અને ઘણી વાસ્તવિક જમાવડીમાં બીજા પર ચાલુ રહે છે, જ્યારે પેલોડ પોર્ટ જ ન હોઈ શકે. તબક્કા ક્રમમાં વાંચવાથી સમજાય છે કે કયો નિયમ ખૂટે છે.

બે પોર્ટ, બે કામ

IKEv2 UDP 500 પર કી વિનિમયથી શરૂ થાય છે, જ્યાં બંને છેડા પ્રમાણિત કરે છે અને ટનલ માટે સુરક્ષા સંગઠન સ્થાપે છે. પછીનો ડેટા માર્ગ અલગ બાબત છે: તે નેટિવ ESP હોઈ શકે, જે પોર્ટ નહીં પણ IP પ્રોટોકોલ નંબર છે, અથવા 4500 પર UDP માં લપેટાયેલ ટ્રાફિક. ફાયરવોલ સમીક્ષામાં આ બંનેને અલગ રાખવું એ વાટાઘાટ કરતી ટનલ અને કામ કરતી ટનલ વચ્ચેનો ફરક છે. એક સોકેટ નિયંત્રણ વહન કરે છે અને બીજું પેલોડ.

તેથી ફક્ત 500 ને મંજૂરી આપતો નિયમ આખા પ્રોટોકોલ કુટુંબમાં સૌથી ગૂંચવણભરી લક્ષણ પેદા કરે છે: વાટાઘાટ સફળ થાય છે અને પછી કંઈ ઉપયોગી થતું નથી. સ્થિતિ પીઅર બતાવે છે, લોગ સ્થાપિત IKE SA બતાવે છે, અને એપ્લિકેશન હજી સમય સમાપ્ત થાય છે. ખૂટતી પરવાનગી હમણાં જ સફળ થયેલા પ્રવાહ કરતાં અલગ પ્રવાહની છે.

4500 આખરે કેમ અસ્તિત્વમાં છે

ઘણા NAT ઉપકરણો TCP કે UDP સિવાયનો પ્રોટોકોલ આગળ મોકલી શકતા નથી, અને કેટલાક સરનામાં એવી રીતે ફરીથી લખે છે જે ESP ની અખંડિતતા તપાસ તોડે છે. ESP ને UDP માં લપેટવાથી બંને સમસ્યા હલ થાય છે, પણ વધારાનું હેડર અને મંજૂર કરવાનો બીજો પોર્ટ જોઈએ. એ લપેટવું એ જ બીજા પોર્ટના અસ્તિત્વનું કારણ છે.

NAT મળ્યા પછી IKE પોતે પણ 4500 પર જાય છે જેથી બધો ટ્રાફિક અનુવાદક દ્વારા એક જ માર્ગ વહેંચે. ચાર બાઇટનું એવું ચિહ્ન જે ESP નથી તે એ સોકેટ પર નિયંત્રણ સંદેશાઓને ડેટાથી અલગ પાડે છે. આ ફેરફાર પ્રોટોકોલનો નિર્ણય છે, વ્યવસ્થાપકની પસંદ નહીં.

સ્રોત પોર્ટ ક્યાં બદલાય છે

અનુવાદક ક્લાયન્ટનો સ્રોત પોર્ટ ફરીથી લખી શકે છે, તેથી સર્વર પર દેખાતો ટ્યુપલ ક્લાયન્ટ પરના ટ્યુપલ સાથે મેળ ખાતો નથી. કોઈ નિયમ અવગણાય છે એવું માનવા પહેલાં દરેક NAT હોપની બંને બાજુ જુઓ. ફક્ત ક્લાયન્ટ પર સમસ્યા શોધવાથી એવો નિયમ મળી શકે જે સાચો લાગે અને તો પણ નિષ્ફળ જાય.

MOBIKE સક્ષમ અમલીકરણો NAT મળ્યા વિના પણ 4500 પર જઈ શકે છે, અને કેટલીક જમાવડી જાણી જોઈને એ માર્ગ ફરજિયાત કરે છે. તેથી 4500 જોવું એ નિર્ણયનો પુરાવો છે, ઘરના રાઉટરનો પુરાવો નહીં.

દરેક સીમા પર બંને પ્રવાહ તપાસો

ત્રણ સીમાઓમાંથી પસાર થાઓ: ક્લાયન્ટ નેટવર્ક, કોઈપણ મધ્યવર્તી ફાયરવોલ અને સર્વર. દરેકને જમાવડી દસ્તાવેજ કરે તે પ્રવાહ જોઈએ, બીજા કિસ્સા વિશેના લેખના પ્રવાહ નહીં.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ફાયરવોલ યાદીમાં ESP લાઇન પ્રોટોકોલ મેળ છે, તેથી પોર્ટ નિયમ કદી તેને આવરી લેતો નથી. ઓપરેટર કસ્ટમ પોર્ટ વાપરે તો બંને છેડે દસ્તાવેજીકૃત રૂપરેખા અનુસરો, કારણ કે ક્લાયન્ટ જાણીતો નંબર પસંદ કરીને સર્વર પર શ્રોતા બનાવી શકતું નથી.

વાટાઘાટ ક્યાં અટકી અને બાળ સુરક્ષા સંગઠન સ્થાપિત થયું કે નહીં તે નોંધો, કારણ કે આ જોડી અવરોધિત માર્ગને પ્રમાણીકરણ કે નીતિની ભૂલથી અલગ પાડે છે. પછી સર્વર ચકાસણી સક્રિય રાખીને પરીક્ષણનું પુનરાવર્તન કરો, કારણ કે પહોંચ પ્રમાણીકરણ નથી. એ છેલ્લું પગલું મંજૂર પોર્ટને વિશ્વસનીય પીઅરથી અલગ પાડે છે.