IKE yfir TCP 4500: athugaðu báða enda fyrir portregluna
TCP-innkapslun er samin af báðum endum, henni er ekki úthlutað af eldveggjarreglu. Keyrðu hlustaraprófið, upptökuna og fjögur viðtökustig í röð.
Stuðningsmiðar berast oft þegar eldveggsbreytingin er þegar samþykkt og göngin neita enn að rísa. Þetta er væntanleg útkoma þegar aðeins annar endinn hefur eiginleikann: TCP-innkapslun samkvæmt RFC 9329 verður að vera útfærð og stillt á báðum endum, og samkomulagið á sér stað inni í tengingunni áður en nokkur vernduð umferð getur færst. Að opna port auglýsir hlustara sem kann að vera ekki til, og hlustari án samsvarandi stillingar hinum megin tekur við tengingu og þagnar svo. Röðin hér að neðan setur ódýru prófin fremst.
Vitaðu hvað valkosturinn bætir í raun við
Innfædd IPsec flytur dulkóðuð notuðu hleðslur sem IP-samskiptareglu 50, án portnúmers sem þarf að leyfa. NAT-traversal vefur þeim pökkum í UDP að porti 4500, og þess vegna nefna svo margar eldveggjarreglur það port. RFC 9329 bætir við straumframsetningu: IKE- og IPsec-pakkar ferðast báðir inni í einni TCP-tengingu, venjulega að porti 4500.
Straumurinn er ekki vefþjónusta. TCP-tenging að 4500 segir ekkert um HTTP, TLS eða vingjarnleika gagnvart milliþjóni, og HTTP-milliþjónn á leiðinni brýtur venjulega rammagreiðsluna í stað þess að flytja hana.
Forprófun áður en þú snertir eldvegginn
Staðallinn setur TCP sem varaleið fyrir net sem sleppa UDP-leiðinni, ekki sem staðgengil hennar. Fáðu tvær staðreyndir frá hverjum söluaðila: nákvæmlega heiti eiginleikans og útgáfuna sem útfærir RFC 9329 frekar en sérsniðna afbrigði. Merki eins og IPsec over TCP hafa verið notuð fyrir ótengdar hönnun, svo biddu um skjalatilvísunina og stillingarlykilinn sem kveikir á því. Án beggja svara skaltu ekki gera ráð fyrir neinu um samhæfni á vírnum.
Sannaðu þetta á rannsóknarstofu þar sem báðir endar eru þínir. Hlið sem svarar á TCP 4500 en klárar aldrei IKE er einkenni hlustara án samsvarandi innkapslunar hinum megin, og það er miklu ódýrara að uppgötva það þar en á breytingarglugga.
Á svarandanum: er eitthvað að hlusta
Byrjaðu á sokknum. ss -ltnp | grep 4500 sýnir hvort TCP-hlustari er til og hvaða ferli á hann. Skortur á línu endar rannsóknina á stillingu hliðsins en ekki á netinu.
Ef sokkurinn er þar, fylgstu með handabandinu í stað þess að giska frá biðlarahlið: tcpdump -ni any 'tcp port 4500'. Lokið þriggja þrepa handabandi og svo þögn þýðir að straumurinn var samþykktur og IKE-skiptin inni í honum mistókust, en SYN án svars bendir á síun eða rangt heimilisfang.
Berðu saman við UDP-leiðina í sama upptökuglugga svo þær tvær ruglist ekki: tcpdump -ni any 'udp port 4500 or proto 50'. Umferð á samskiptareglu 50 eða UDP-porti 4500 þegar þú heldur að TCP sé í notkun þýðir að endarnir voru aldrei sammála um varaleiðina. Taktu einnig upp á hliðinu ef þú getur, því upptaka frá biðlarahlið getur ekki sýnt hvað fjarlægi endinn sendi.
Samþykktu í fjórum aðskildum stigum
Meðhöndlaðu rísinguna sem fjórar niðurstöður. Hver getur mistekist af annarri ástæðu, og eitt staðið eða mistekist felur hver það var, svo stöðvaðu á fyrsta stiginu sem mistekst og byrjaðu aftur að ofan.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Fjórða stigið er það sem er sleppt. Núverandi seta getur haldið áfram á skyldu ástandi, svo opnaðu nýja tengingu við hýsil bak við hliðið áður en þú lokar breytingunni. Ef annað stigið mistekst á meðan það fyrsta stendst, er ágreiningurinn í tillögunni eða í innkapslunarstillingunni, ekki í eldveggnum.
Afturköllun og kostnaðurinn við að hafa það á
Skipuleggðu afturköllunina fyrir breytinguna: slökktu á innkapslunarvalkostinum á báðum endum og staðfestu að göngin snúi aftur um UDP. Haltu TCP-reglunni í eina yfirferðarlotu ef varaleiðin þarf aftur, og fjarlægðu hana svo. Ónotaður hlustari á 4500 er yfirborð án nokkurs rekstrargildis.
Fylgstu með afkastaeinkenninu þegar það ber raunverulega vinnu. TCP inni í TCP bætir við staðfestingarlögum sem stöðvast við eitt tap, og straumar sem deila einni tengingu geta lokað hvort annað, svo mældu forritið sem mun nota göngin í stað ping.
Samþykkjalisti
Staðfestu heiti og útgáfu eiginleikans á báðum endum, hlustarann á svarandanum, upptökuna sem sýnir lokið handaband og fjögur stigin skráð með tímatökkum. Bættu ástæðu varaleiðarinnar við breytingarskrána svo næsti verkfræðingur viti hvers vegna TCP er þar. Æfðu afturköllunina áður en þú þarft á henni að halda.
Ef eitthvert stig mistekst, lagaðu aðeins það stig. Að breyta dulritunarpakkanum eða auðkennisstillingunum til að elta flutningsvandamál bætir venjulega annarri, ótengdri bilun ofan á þá fyrstu.