ESP shine IP protocol 50, ba TCP port 50 ba: abin da za a ba da izini

Fom ɗin firewall suna neman TCP port, kuma bayyanannen shigarwa shine 50. Wannan shigarwar ba ta ba da izinin komai, domin ESP shine IP protocol lamba 50 kuma lambobin protocol ba port ba ne. Wuraren suna biyu suna raba ƙananan lambobi kawai ba wani abu ba, kuma kuskuren ba ya gani har sai IKE ya ƙare kuma zirga-zirgar da aka kare ba ta zo ba.

Wuraren suna biyu da ke raba ƙananan lambobi

Kan IP yana ɗauke da filin protocol wanda ke ambaton abin da ke gaba: 6 don TCP, 17 don UDP, 1 don ICMP, 50 don ESP, 51 don AH. Kan TCP ko UDP yana ɗauke da lambobin port, waɗanda ke zaɓen tsari a kan mai masaukin manufa. Protocol 50 da TCP port 50 ƙididdiga ne marasa alaƙa, amma akwatin tattaunawa na iya sa su zama kamar masu musanya.

Shi ya sa dokar tura port ba za ta iya bayyana ainihin ESP ba. Babu port ɗin manufa na ESP da za a tura, kuma na'urar da ke fahimtar dokokin port kawai ba ta da wata ƙamus ga wannan fakitin kwata-kwata. Dokar da ta dace tana ambaton IP protocol maimakon haka. Duk wata tattaunawa ta port ita ce kayan aiki mara kyau ga wannan fakitin.

Ruɗanin yana da rabi na biyu. Lokacin da fakitin ke ɓoyayye, duk abin da ke cikinsa ba ya bayyana, har da kan TCP na haɗin asali. Firewall da ke duba port a wannan fakitin yana kallon kan waje, wanda a yanayin asali ba shi da port da zai duba.

Ainihin ESP, sannan zaɓin da aka lulluɓe

Ainihin ESP ana ɗaukarsa kai tsaye a matsayin IP protocol, wanda yake da inganci kuma da wahala daidai gwargwado. Yana da inganci domin babu ƙarin kan, kuma yana da wahala domin duk na'urar da ke fassara adireshi da port ba za ta iya bin sa ba. NAT traversal ya wanzu don magance hakan, ta hanyar naɗe fakitin ESP cikin UDP domin mai fassara ya sami port da zai sake rubutawa.

Sifofin biyu zaɓaɓɓun hanyoyin tura tashar bayanai ɗaya ne, ba matakai na ɗaya ba. Ba da izinin ainihin ESP ba ya ba da izinin sifar da aka lulluɓe, kuma ba da izinin UDP 4500 ba ya ba da izinin ainihin zirga-zirga, don haka saitin doka dole ya dace da yadda aka tura shi maimakon rufe duka biyu bisa kuskure.

Ganewa yana da muhimmanci a nan ma. Ƙarshen hanyoyin biyu suna yanke shawara tsakanin sifofin yayin tattaunawa, kuma sauyin yakan faru lokacin da aka gano NAT a tsakaninsu. Saboda haka hanyar da ta canza bayan an kafa ramin na iya motsa zirga-zirgar zuwa wani wurin suna da dokokinka ba su taɓa rufewa ba.

Karanta wace sifa haɗin ke amfani da ita a zahiri

Tambayi ƙarshen maimakon yin hasashe daga firewall. A Linux shigarwar yanayi tana ba da rahoton ko ƙungiyar tana amfani da lulluɓewar UDP da waɗanne port ne abin ya shafa. Ɗaukar fakitin yana amsa wannan tambaya daga waya, kuma duka biyun sun fi sauri fiye da karanta saitin doka da yin bege.

ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'

Umarni na farko yana nuna nau'in lulluɓe lokacin da ake amfani da NAT traversal kuma ba ya nuna komai lokacin da ba a yi ba. Na biyu yana nuna wanne daga cikin sifofin biyu ke tsallaka maƙullin a zahiri, wanda ke kawo ƙarshen muhawara kan saitin da ya yi kama da daidai a takarda.

Hujjar gaba da ita tana cikin wannan mataki. Dokar da ke ba da rahoton sifili matches tana gaya maka cewa fakitin bai taɓa isa gare ta ba, kuma wannan tambaya ce ta tura hanya ko zaɓe, ba ta firewall ba.

Sannan tabbatar da tashar sarrafawa daban. IKE yana da nasa port ɗin da nasa rubuce-rubuce, kuma kammalallen tattaunawa ba tare da bayanai ba shine ainihin rabuwar da wannan labarin ke magana akai.

Rubuta dokar a cikin wurin suna da ya dace

Dokar protocol da dokar port umarni ne daban-daban, don haka kayan aikin dole ya bayyana wanda kake nufi. A cikin nftables daidaiton protocol a bayyane yake, kuma zaɓin da aka lulluɓe yana samun nasa dokar UDP. Riƙe dokokin biyu kusa da juna domin ma'auratan su kasance a bayyane yayin bita.

nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } accept

Yi tsayin daka da faɗaɗa kowace doka don rama mummunan bincike. Barin komai ga protocol ɗin ESP a kowace maƙulla, ko barin UDP daga ko'ina zuwa ko'ina, yana gyara alama kuma yana cire ikon da kake ƙoƙarin saitawa. Ƙunƙwararwar da ake tallafawa kusan koyaushe tana isa da zarar an san sifar.

A ƙarshe, riƙe matakan daidai lokacin da ramin ke aiki amma manhajar ba ta aiki. Fakitin da ke isa ƙofar har yanzu suna buƙatar turawa, hanyar dawowa da manufar da za ta karɓe su, kuma babu ɗaya daga cikinsu da dokar ESP ke bayyanawa. Port ɗin da ya ɓace yana bayyana wani gazawa takamaimai, ba kowace gazawar IPsec ba. Riƙe gyaran doka da duba tura hanya a matsayin shawarwari biyu daban.

Yi rikodin sifar da ka lura da ita, dokar protocol da ka ƙara, da ma'aunin da ka gani bayan haka. Layi uku, kuma mutum na gaba zai iya bambanta kuskuren wurin suna da kuskuren tura hanya cikin minti ɗaya maimakon rana.