IKE TCP-n 4500: a portszabály előtt ellenőrizze mindkét felet
A TCP-burkoolást mindkét fél egyezteti, nem egy tűzfal-szabály adja. Futtassa a figyelő ellenőrzését, a rögzítést és a négy elfogadási szakaszt sorrendben.
A támogatási jegyek gyakran úgy érkeznek, hogy a tűzfal módosítása már jóvá van hagyva, az alagút pedig még mindig nem hajlandó feljönni. Ez a várt eredmény, ha csak az egyik vég rendelkezik a funkcióval: az RFC 9329 szerinti TCP-burkoolást mindkét végén meg kell valósítani és konfigurálni, és a megállapodás a kapcsolat belsejében történik, mielőtt bármilyen védett forgalom elindulhatna. Egy port megnyitása olyan figyelőt hirdet, amely talán nem is létezik, és a másik oldalon megfelelő konfiguráció nélküli figyelő elfogadja a kapcsolatot, majd elhallgat. Az alábbi sorrend az olcsó ellenőrzéseket teszi előre.
Tudja, mit ad hozzá valójában az opció
A natív IPsec titkosított hasznos terheket így visz: IP-protokoll 50, engedélyezendő portszám nélkül. A NAT traversal ezeket a csomagokat UDP-be csomagolja a 4500-as port felé, ezért említ olyan sok tűzfal-szabályt ez a port. Az RFC 9329 stream-reprezentációt ad hozzá: az IKE- és IPsec-csomagok is egyetlen TCP-kapcsolaton belül utaznak, általában a 4500-as port felé.
A stream nem webes szolgáltatás. A 4500-as TCP-kapcsolat semmit sem mond a HTTP-ről, a TLS-ről vagy a proxybarátságról, és az útvonalon lévő HTTP-proxy általában inkább eltöri a keretezést, mintsem továbbítaná.
Előzetes ellenőrzés, mielőtt a tűzfalhoz nyúl
A szabvány a TCP-t tartalék megoldásként pozicionálja azoknak a hálózatoknak, amelyek eldobják az UDP-útvonalat, nem annak helyettesítőjeként. Kérjen két tényt minden gyártótól: a funkció pontos nevét és azt a verziót, amely az RFC 9329-et valósítja meg, nem egy saját változatot. Az olyan címkéket, mint az IPsec over TCP, összefüggéstelen tervekhez használták, ezért kérje a dokumentumhivatkozást és a bekapcsolásához szükséges konfigurációs kulcsot. Mindkét válasz nélkül ne feltételezzen semmit a vezetékes kompatibilitásról.
Bizonyítsa ezt olyan laborban, ahol mindkét vég az Öné. Az az átjáró, amely válaszol a TCP 4500-on, de soha nem fejezi be az IKE-t, a másik oldalon hiányzó megfelelő burkolás figyelőjének a jele, és ezt ott felfedezni sokkal olcsóbb, mint egy változási ablak alatt.
A válaszadó oldalán: figyel-e valami
Kezdje a socketnél. ss -ltnp | grep 4500 megmutatja, létezik-e TCP-figyelő, és melyik folyamat birtokolja. Egy sor hiánya a nyomozást az átjáró konfigurációjánál fejezi be, nem a hálózatnál.
Ha a socket ott van, figyelje a kézfogást ahelyett, hogy az ügyfél oldaláról találgatna: tcpdump -ni any 'tcp port 4500'. A befejezett háromutas kézfogást követő csend azt jelenti, hogy a streamet elfogadták, és a benne lévő IKE-csere meghiúsult, míg a válasz nélküli SYN szűrésre vagy a rossz címre utal.
Hasonlítsa össze az UDP-útvonallal ugyanabban a rögzítési ablakban, hogy a kettő ne keveredjen: tcpdump -ni any 'udp port 4500 or proto 50'. Ha a 50-es protokollon vagy az UDP 4500-as porton van forgalom, miközben Ön TCP-t hisz használatban, akkor a felek soha nem egyeztek meg a tartalékról. Ha tud, rögzítsen az átjárón is, mert az ügyfél oldali rögzítés nem mutathatja meg, mit küldött a távoli vég.
Négy külön szakaszban fogadja el
Tekintse a felállást négy eredménynek. Mindegyik más okból hiúsulhat meg, és egyetlen siker vagy kudarc elrejti, melyik volt az, ezért álljon meg az első hibás szakasznál, és kezdje újra felülről.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
A negyedik szakasz az, amelyet kihagynak. Egy meglévő munkamenet tovább működhet gyorsítótárazott állapoton, ezért nyisson friss kapcsolatot az átjáró mögötti hoszthoz, mielőtt lezárja a változtatást. Ha a második szakasz meghiúsul, miközben az első átmegy, a nézeteltérés a javaslatban vagy a burkolási beállításban van, nem a tűzfalban.
Visszaállítás, és annak költsége, hogy bekapcsolva hagyjuk
Tervezze meg a visszavonást a változtatás előtt: kapcsolja ki a burkolási opciót mindkét végén, és erősítse meg, hogy az alagút UDP-n tér vissza. Tartsa meg a TCP-szabályt egy felülvizsgálati ciklusig, arra az esetre, ha a tartalékra ismét szükség lenne, majd távolítsa el. A 4500-on használaton kívüli figyelő üzemeltetési érték nélküli felület.
Figyelje a teljesítményjegyet, amint valódi munkát visz. A TCP a TCP-ben olyan nyugtázási rétegeket ad, amelyek egyetlen veszteségnél megakadnak, és az egy kapcsolatot megosztó streamek blokkolhatják egymást, ezért a ping helyett azt az alkalmazást mérje, amely használni fogja az alagutat.
Elfogadási lista
Erősítse meg a funkció nevét és verzióját mindkét végén, a figyelőt a válaszadón, a befejezett kézfogást mutató rögzítést, és az időbélyegekkel rögzített négy szakaszt. Adja hozzá a tartalék okát a változási rekordhoz, hogy a következő mérnök tudja, miért van ott a TCP. Gyakorolja a visszaállítást, mielőtt szüksége lenne rá.
Ha bármelyik szakasz meghiúsul, csak azt a szakaszt javítsa. A titkosítási csomag vagy az identitásbeállítások módosítása egy szállítási probléma üldözésére általában egy második, összefüggéstelen hibát tesz az elsőre.