Me ya sa L2TP/IPsec ke buƙatar UDP 1701 tare da IPsec

Katangar wuta da ke ba da izinin IKE da ESP amma ba ta ba da izinin UDP 1701 na karya haɗin L2TP ta yadda yake kama da matsalar takardar shaida. Dalili shi ne cewa L2TP ƙa'ida ta biyu ce da ke tafiya cikin ta farko. IPsec na ɗauka kuma yana tabbatar da musayar, kuma L2TP na gudanar da raminsa a kan UDP 1701, wanda tsarin gida dole ne ya isar da shi. Sanin inda kowane kan rubutu ke bayyana na bayyana wace na'ura ke buƙatar wace ƙa'ida.

Ƙa'idoji biyu, jerin tashoshi biyu

Haɗin L2TP/IPsec na amfani da IKE a kan UDP 500, wucewar NAT a kan UDP 4500 inda akwai fassara, da ESP a matsayin ƙa'idar IP 50 inda babu. L2TP da kansa ƙa'idar rami ce a kan UDP 1701, kuma yana aiki bayan IPsec ya tabbatar da abokin haɗin. Rabin biyu suna kasawa daban, kuma layukan log ɗin da ke ba da labarinsu suna zuwa daga sassa daban-daban. Jerin ƙa'idoji da ke rufe rabin farko kawai na samar da haɗin da ke yin shawarwari sannan ya mutu a matakin rami.

Lambobin tashoshi suna bayanin ƙarshen jigilar, kuma ESP ba tasha ba ce kwata-kwata. Shi ya sa fuskar katangar wuta da ke ba da ƙa'idojin TCP da UDP kawai ba za ta iya bayyana cikakkiyar manufar IPsec ba. Dole a ba da izinin ƙa'ida 50 a matsayin ƙa'ida, kuma ƙa'idar da ta ambaci UDP kawai ba za ta taɓa dacewa da ita ba.

Murfi ne ke bayanin tashar

A kan waya, haɗin L2TP/IPsec yakan nuna IKE a kan 500 da ESP da aka lulluɓe a kan 4500. Kan rubutun UDP 1701 yana cikin kayan da aka kare, shi ya sa kamawa a fuskar waje ba ta nuna shi. Mai masaukin gida dole ne ya isar da wannan datagram ga aljaniyar L2TP, kuma isar da ita na faruwa bayan cire murfi. Don haka ƙa'idar 1701 ta kasance ta katangar wutar ƙarshen da kanta, ko da babu wata na'urar tsakiya da ta taɓa ganin tashar.

Tsarin aiki ne ke bayanin yawancin rikicewar. Idan tsarin ya yi amfani da manufar IPsec kafin matattarar mai masauki, ana daidaita fakitin L2TP da aka cire murfi a matsayin UDP 1701; idan an juya tsarin, tashoshin waje ne abin da jerin ƙa'idoji ke gani. Dukansu halayen suna nan a aikace, shi ya sa jerin ƙa'idoji ɗaya ke kama da yana aiki a wani dandali kuma yana kasawa a wani.

Duba hanyar bisa tsari

Da farko ka kama fuskar waje ka tabbatar cewa IKE da ESP da aka lulluɓe suna tafiya a duka bangarorin. Sannan ka duba ma'aunan katangar wutar gida don zirga-zirgar da aka cire murfi. Tsarin yana da muhimmanci, domin kamawar da ba ta nuna kome ba tana nufin matsalar tana sama da mai masauki.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Kamawar tana tabbatar da rabin farko na musayar kuma tana nuna ko abokin haɗin yana amsawa. Jerin ƙa'idoji yana nuna ko akwai ƙa'idar 1701 da kuma inda take dangane da duk wata manufar watsi. Jerin soket yana tabbatar cewa aljaniyar L2TP an ɗaure ta kuma tana sauraro, wanda ke kawar da sabis ɗin da bai taɓa farawa ba. Karanta duka uku kafin ka canza ƙa'ida, domin rashin mai sauraro da tashar da aka tace suna kawo ƙarar mai amfani ɗaya.

Abin da duba tashoshi ba zai iya nunawa ba

Duban waje na UDP 1701 a kan uwar garken da aka tsara daidai yawanci ba ya bayar da rahoto, kuma wannan ne sakamakon da ake tsammani. Ba a fallasa tashar ga intanet; ana isa gareta ne kawai bayan IPsec ya tabbatar da abokin haɗin. Ɗaukar sakamakon rufaffiyar a matsayin lahani na kai ga buɗe tashar da ya kamata ta kasance a rufe. Duban ba zai iya ganin cikin ramin ba kamar yadda ba zai iya ganin zirga-zirgar manhaja ba.

A maimakon haka gwada da abokin ciniki na gaske, kuma karanta matakin da ya kai. Idan haɗin ya yi shawarwari sannan ya tsaya, aljaniyar L2TP ko matattarar gida ne ake zargi; idan bai taɓa yin shawarwari ba, tashoshin waje ne ke da laifi. Wannan rabe-raben ɗaya yana kawar da yawancin hasashe game da wace ƙa'ida za a ƙara, kuma tsarin ƙa'idoji yana mai da shi abin tsammani maimakon abin ban mamaki.