IKE TCP-ի վրա 4500՝ ստուգեք երկու ծայրերը նախքան պորտի կանոնը
TCP փաթեթավորումը բանակցվում է երկու ծայրերի կողմից, այն չի տրվում firewall կանոնով։ Կատարեք լսորդի ստուգումը, գրավումն ու ընդունման չորս փուլերը հերթականությամբ։
Աջակցության տոմսերը հաճախ գալիս են, երբ firewall-ի փոփոխությունն արդեն հաստատված է, իսկ թունելը դեռ հրաժարվում է բարձրանալ։ Սա սպասվող արդյունքն է, երբ հատկությունը միայն մի ծայրում է՝ RFC 9329-ի TCP փաթեթավորումը պետք է ներդրվի և կարգավորվի երկու ծայրերում, և համաձայնությունը կատարվում է կապի ներսում, նախքան որևէ պաշտպանված թրաֆիկ կշարժվի։ Պորտ բացելը գովազդում է լսորդ, որը կարող է գոյություն չունենալ, իսկ մյուս կողմում համապատասխան կարգավորում չունեցող լսորդը ընդունում է կապը և հետո լռում։ Ստորև հաջորդականությունը էժան ստուգումները դնում է առաջինը։
Իմացեք, թե ինչ է իրականում ավելացնում տարբերակը
Բնիկ IPsec-ը կրում է գաղտնագրված բեռնվածքները որպես IP արձանագրություն 50, առանց պորտի համարի, որը պետք է թույլատրվի։ NAT traversal-ը այդ փաթեթները փաթաթում է UDP-ի մեջ դեպի 4500 պորտ, և դրա համար է, որ այդքան firewall կանոններ նշում են այդ պորտը։ RFC 9329-ը ավելացնում է հոսքի ներկայացում՝ IKE և IPsec փաթեթները երկուսն էլ ճանապարհորդում են մեկ TCP կապի ներսում, սովորաբար դեպի 4500 պորտ։
Հոսքը վեբ ծառայություն չէ։ 4500-ին TCP կապը ոչինչ չի ասում HTTP-ի, TLS-ի կամ վստահորդի հետ բարեկամության մասին, և ուղու վրա գտնվող HTTP վստահորդը սովորաբար կկոտրի շրջանակավորումը՝ փոխարենը այն կրելու։
Նախնական ստուգում նախքան firewall-ին դիպչելը
Ստանդարտը TCP-ն դնում է որպես պահուստային տարբերակ այն ցանցերի համար, որոնք գցում են UDP ուղին, ոչ որպես դրա փոխարինում։ Յուրաքանչյուր մատակարարից ստացեք երկու փաստ՝ հատկության ճշգրիտ անվանումը և այն տարբերակը, որը ներդնում է RFC 9329-ը, այլ ոչ սեփական տարբերակ։ IPsec over TCP-ի նման պիտակներ օգտագործվել են անկապ ձևավորումների համար, ուստի խնդրեք փաստաթղթի հղումը և այն կարգավորման բանալին, որը միացնում է այն։ Առանց երկու պատասխանի ոչինչ մի ենթադրեք լարային համատեղելիության մասին։
Ապացուցեք դա լաբորատորիայում, որտեղ երկու ծայրերն էլ ձերն են։ Այն gateway-ը, որը պատասխանում է TCP 4500-ին, բայց երբեք չի ավարտում IKE-ն, լսորդի նշան է, որին բացակայում է համապատասխան փաթեթավորումը մյուս կողմում, և դա այնտեղ հայտնաբերելը շատ ավելի էժան է, քան փոփոխության պատուհանի ընթացքում։
Պատասխանողի կողմում՝ ինչ-որ բան լսում է
Սկսեք սոկետից։ ss -ltnp | grep 4500-ը ցույց է տալիս՝ կա արդյոք TCP լսորդ և որ գործընթացն է տիրապետում դրան։ Տողի բացակայությունը հետաքննությունն ավարտում է gateway-ի կարգավորման վրա, ոչ թե ցանցի։
Եթե սոկետը կա, դիտեք ձեռքսեղմումը՝ փոխարենը կռահելու հաճախորդի կողմից՝ tcpdump -ni any 'tcp port 4500'։ Ավարտված եռակողմ ձեռքսեղմումը, որին հաջորդում է լռություն, նշանակում է, որ հոսքն ընդունվել է, և դրա ներսում IKE փոխանակումը ձախողվել է, մինչդեռ պատասխան չստացած SYN-ը մատնանշում է զտում կամ սխալ հասցե։
Համեմատեք UDP ուղու հետ նույն գրավման պատուհանում, որպեսզի երկուսը չշփոթվեն՝ tcpdump -ni any 'udp port 4500 or proto 50'։ Երբ կարծում եք, որ օգտագործվում է TCP, 50 արձանագրության կամ UDP 4500 պորտի վրա թրաֆիկը նշանակում է, որ ծայրերը երբեք չեն համաձայնել պահուստի շուրջ։ Հնարավորության դեպքում գրավեք նաև gateway-ի վրա, որովհետև հաճախորդի կողմի գրավումը չի կարող ցույց տալ, թե ինչ է ուղարկել հեռավոր ծայրը։
Ընդունեք չորս առանձին փուլերով
Վերելքը դիտարկեք որպես չորս արդյունք։ Յուրաքանչյուրը կարող է ձախողվել տարբեր պատճառով, և մեկ անցումը կամ ձախողումը թաքցնում է, թե որն էր, ուստի կանգ առեք առաջին ձախողվող փուլում և նորից սկսեք վերևից։
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Չորրորդ փուլն այն է, որը բաց է թողնվում։ Գոյություն ունեցող սեսիան կարող է շարունակել աշխատել քեշավորված վիճակի վրա, ուստի նախքան փոփոխությունը փակելը բացեք նոր կապ դեպի gateway-ի հետևում գտնվող հոսթ։ Եթե երկրորդ փուլը ձախողվում է, մինչ առաջինն անցնում է, անհամաձայնությունը առաջարկի կամ փաթեթավորման կարգավորման մեջ է, ոչ firewall-ում։
Հետադարձ և այն միացված թողնելու արժեքը
Նախքան փոփոխությունը պլանավորեք չեղարկումը՝ անջատեք փաթեթավորման տարբերակը երկու ծայրերում և հաստատեք, որ թունելը վերադառնում է UDP-ով։ Պահեք TCP կանոնը մեկ վերանայման ցիկլի համար, եթե պահուստը նորից անհրաժեշտ լինի, ապա հեռացրեք այն։ 4500-ի վրա չօգտագործվող լսորդը գործառնական արժեք չունեցող մակերես է։
Հետևեք կատարողականության նշանին, երբ այն իրական աշխատանք կրի։ TCP-ն TCP-ի ներսում ավելացնում է հաստատման շերտեր, որոնք կանգ են առնում մեկ կորստի դեպքում, և մեկ կապը կիսող հոսքերը կարող են արգելափակել միմյանց, ուստի չափեք այն հավելվածը, որը կօգտագործի թունելը, ոչ թե ping-ը։
Ընդունման ցուցակ
Հաստատեք հատկության անունն ու տարբերակը երկու ծայրերում, լսորդը պատասխանողի մոտ, գրավումը, որը ցույց է տալիս ավարտված ձեռքսեղմում, և ժամանակային նիշերով գրանցված չորս փուլերը։ Ավելացրեք պահուստի պատճառը փոփոխության գրառմանը, որպեսզի հաջորդ ինժեները իմանա, թե ինչու է TCP-ն այնտեղ։ Փորձեք հետադարձը նախքան այն ձեզ անհրաժեշտ կլինի։
Եթե որևէ փուլ ձախողվի, ուղղեք միայն այդ փուլը։ Գաղտնագրման փաթեթը կամ ինքնության կարգավորումները փոխելը տրանսպորտի խնդրի հետևից ընկնելու համար սովորաբար ավելացնում է երկրորդ, անկապ ձախողում առաջինի վրա։