IKEv2 notar UDP 500 og 4500: hvor ber gögnin?

Fyrstu skiptin og slóðin sem ber gögnin eru ekki sama flæðið. Athugaðu báðar gáttirnar og mundu að innfædd ESP er prótókólnúmer, ekki gátt.

Að opna UDP 500 í eldveggnum gerir göngunni kleift að semja, og síðan hættir tengingin að senda umferð. Gáttalistinn var ófullnægjandi, ekki rangur. IKEv2 byrjar á einni sokk og heldur áfram í mörgum raunverulegum uppsetningum á annarri, en hleðslan gæti alls ekki verið gátt. Að lesa þrepin í réttri röð útskýrir hvaða regla vantar.

Tvær gáttir, tvö verk

IKEv2 byrjar á lyklaskiptum á UDP 500, þar sem aðilar sannreyna sig og koma á öryggissamtengingu fyrir gönguna. Gagnaslóðin sem fylgir er annað mál: hún getur verið innfædd ESP, sem er IP-prótokólnúmer en ekki gátt, eða umferð sem er falin í UDP á 4500. Að halda þessu aðskildu í eldveggsskoðun er munurinn á göngu sem semur og göngu sem virkar. Ein sokkin ber stjórn og hin hleðsluna.

Þess vegna framleiðir regla sem leyfir aðeins 500 ruglingslegustu einkennin í allri prótókólfjölskyldunni: samningaviðræðurnar heppnast og ekkert gagnlegt fylgir. Staðan sýnir jafningja, loggið sýnir uppsetta IKE SA, og forritið rennur samt út á tíma. Leyfið sem vantar tilheyrir öðru flæði en því sem tókst rétt í þessu.

Hvers vegna 4500 er til yfirhöfuð

Mörg NAT-tæki geta ekki sent áfram annað prótókól en TCP eða UDP, og sum endurskrifa vistföng á þann hátt að það brýtur heilleikaprófun ESP. Að pakka ESP inn í UDP leysir bæði vandamálin, gegn kostnaði við aukna haus og aðra gátt sem þarf að leyfa. Þessi pökkun er ástæðan fyrir því að önnur gáttin er yfirhöfuð til.

Þegar NAT greinist færist IKE sjálft líka yfir á 4500 svo öll umferð deili einni slóð í gegnum þýðandann. Merki sem er fjögur bæti og er ekki ESP greinir stjórnboð frá gögnum á þeirri sokk. Skiptin eru prótókólákvörðun, ekki val kerfisstjóra.

Hvar upprunagáttin breytist

Þýðandi getur endurskrifað upprunagátt biðlarans, svo tuple-ið sem sjá má á þjóninum passar ekki við tuple-ið á biðlaranum. Skoðaðu báðar hliðar hvers NAT-stökks áður en þú ályktar að regla sé hunsuð. Vandræðagreining eingöngu á biðlaranum getur gefið reglu sem lítur rétt út og mistekst samt.

Útfærslur með MOBIKE-stuðningi geta líka fært sig á 4500 án þess að NAT greinist, og sumar uppsetningar þvinga þá slóð viljandi. Að sjá 4500 er því sönnun um ákvörðun, ekki sönnun um heimanetbeini.

Athugaðu bæði flæðin á hverri mörkum

Farðu í gegnum þrjú mörk: net biðlarans, hvaða milliliggjandi eldvegg sem er, og þjóninn. Hvert þeirra þarf flæðin sem uppsetningin skjalfestir, ekki flæðin úr grein um annað tilfelli.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ESP-línan í eldveggslista er prótókólsamsvörun, svo gáttarregla nær aldrei yfir hana. Ef stjórnandinn notar sérsniðna gátt, fylgdu skjalfestu stillingunni á báðum endum, því biðlari getur ekki búið til hlustanda á þjóninum með því að velja kunnuglegt númer.

Skráðu hvar samningaviðræðurnar stöðvuðust og hvort barnsöryggissamtengingu var komið fyrir, því þetta par aðgreinir lokaða slóð frá sannvottunar- eða stefnuvillu. Endurtaktu síðan prófið með þjónsstaðfestingu virkri, því aðgengi er ekki sannvottun. Það síðasta skref aðgreinir leyfða gátt frá traustum jafningja.

Tengdir greinar