IKEv2 na amfani da UDP 500 da 4500: wanne ne ke ɗaukar bayanan?

Buɗe UDP 500 a cikin katangar wuta yana sa ramin ya yi shawara, sannan haɗin yana daina wucewa da zirga-zirga. Jerin tashoshin bai cika ba, ba kuskure ba. IKEv2 yana farawa a kan soket ɗaya kuma a yawancin turawa na gaske yana ci gaba a kan wani, yayin da kayan da ake ɗauka ba lallai ba ne tasha. Karanta matakan a jere yana bayyana wace doka ta ɓace.

Tashoshi biyu, ayyuka biyu

IKEv2 yana farawa da musayar maɓalli a kan UDP 500, inda ɓangarorin biyu suke tabbatar da kansu kuma suke kafa ƙungiyar tsaro ga ramin. Hanyar bayanai da ke biyo baya wani al'amari ne daban: tana iya zama ESP na asali, wanda lambar yarjejeniyar IP ce ba tasha ba, ko zirga-zirgar da aka lulluɓe cikin UDP a kan 4500. Rarrabe waɗannan a cikin bitar katangar wuta shi ne bambanci tsakanin ramin da ke yin shawara da ramin da ke aiki. Soket ɗaya na ɗaukar sarrafawa ɗayan kuma na ɗaukar kayan.

Shi ya sa doka da ke ba da izinin 500 kawai ke haifar da mafi ruɗani alama a dukan iyalin yarjejeniya: shawarar tana yin nasara kuma babu wani amfani da ke biyo baya. Yanayin yana nuna abokin tarayya, log ɗin yana nuna IKE SA da aka kafa, kuma aikace-aikacen har yanzu yana ƙarewa. Izinin da ya ɓace na wani tafarki ne daban da wanda ya yi nasara yanzu.

Me ya sa 4500 yake wanzuwa kwata-kwata

Yawancin na'urorin NAT ba za su iya tura wata yarjejeniya banda TCP ko UDP ba, wasu kuma suna sake rubuta adireshi ta hanyoyin da ke karya gwajin amincin ESP. Lulluɓe ESP cikin UDP yana magance matsalolin biyu, a kan farashin ƙarin kai da tasha ta biyu da za a ba da izini. Wannan lulluɓewar ita ce dalilin da tasha ta biyu take wanzuwa kwata-kwata.

Da zarar an gano NAT, IKE da kansa ma yana ƙaura zuwa 4500 domin dukan zirga-zirga su raba hanya ɗaya ta mai fassara. Alama ta baiti huɗu wadda ba ESP ba tana bambanta saƙonnin sarrafawa da bayanai a wannan soket. Canjin shi ne shawarar yarjejeniya, ba zaɓin mai gudanarwa ba.

Inda tashar tushe take canzawa

Mai fassara na iya sake rubuta tashar tushen abokin ciniki, don haka tuple da ake gani a uwar garken bai dace da tuple a kan abokin ciniki ba. Duba ɓangarorin biyu na kowane tsalle na NAT kafin ka yanke hukuncin cewa ana watsi da doka. Magance matsala a kan abokin ciniki kawai na iya samar da doka da take kama da daidai kuma har yanzu ta kasa.

Aiwatarwa masu goyon bayan MOBIKE ma na iya ƙaura zuwa 4500 ba tare da an gano NAT ba, wasu turawa kuma suna tilasta wannan hanya da gangan. Don haka ganin 4500 shaida ce ta shawara, ba hujja ba ce ta na'urar tafiyar da gida.

Duba duka tafarkin biyu a kowane iyaka

Bi iyakoki uku: cibiyar sadarwar abokin ciniki, duk wata katangar wuta ta tsakiya, da uwar garken. Kowanne yana buƙatar tafarkin da turawar ta rubuta, ba tafarkin wata kasida kan wani yanayi ba.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Layin ESP a cikin jerin katangar wuta daidaiton yarjejeniya ne, don haka dokar tasha ba ta taɓa rufe shi ba. Idan mai aiki yana amfani da tasha na musamman, bi tsarin da aka rubuta a ɓangarorin biyu, domin abokin ciniki ba zai iya ƙirƙirar mai sauraro a uwar garken ba ta hanyar zaɓar lambar da aka sani.

Rubuta inda shawarar ta tsaya da ko an shigar da ƙaramin ƙungiyar tsaro, domin wannan biyun yana raba hanya da aka toshe daga kuskuren tabbatarwa ko manufa. Sannan sake gwajin tare da kunna tabbatarwar uwar garken, domin isa ba tabbaci ba ne. Wannan mataki na ƙarshe yana raba tashar da aka yarda da ita daga abokin da aka amince da shi.