Hvers vegna L2TP/IPsec þarf UDP 1701 auk IPsec

Eldveggir sem leyfa IKE og ESP en ekki UDP 1701 brjóta L2TP-tengingar á þann hátt að útlit er eins og vandamál með auðkenni. Ástæðan er sú að L2TP er önnur samskiptaregla sem fer inni í þeirri fyrstu. IPsec flytur og staðfestir skiptin, og L2TP rekur eigin göng yfir UDP 1701, sem staðbundið stafli verður samt að skila. Að vita hvar hver haus birtist útskýrir hvaða tæki þarf hvaða reglu.

Tvær samskiptareglur, tvö portasett

L2TP/IPsec-tenging notar IKE á UDP 500, NAT-för á UDP 4500 þar sem þýðing er til staðar, og ESP sem IP-samskiptareglu 50 þar sem hún er ekki. L2TP sjálft er göngusamskiptaregla á UDP 1701 og gengur eftir að IPsec hefur staðfest mótaðilann. Hlutarnir tveir bregðast mismunandi og línurnar í atburðaskránni sem greina frá þeim koma frá mismunandi hlutum. Reglusett sem nær aðeins yfir fyrri hlutann framleiðir tengingu sem semur og deyr síðan á göngustiginu.

Portanúmer lýsa endapunktum flutnings, og ESP er alls ekki port. Þess vegna getur eldveggsviðmót sem býður aðeins upp á TCP- og UDP-reglur ekki lýst fullri IPsec-stefnu. Leyfa verður samskiptareglu 50 sem samskiptareglu, og regla sem nefnir aðeins UDP mun aldrei passa við hana.

Umbúðirnar útskýra portið

Á leiðinni sýnir L2TP/IPsec-tenging venjulega IKE á 500 og umbúðað ESP á 4500. UDP 1701-hausinn situr inni í varðaða farminum, þess vegna sýnir upptaka á ytri viðmótinu hann ekki. Staðbundni hýsillinn verður samt að skila þeirri gagnaeind til L2TP-púka, og afhendingin á sér stað eftir afhjúpun. Þess vegna tilheyrir reglan um 1701 eldvegg endapunktsins sjálfs, jafnvel þótt engin millibox sjái portið nokkurn tíma.

Vinnsluröðin útskýrir mestu ruglinguna. Ef staflinn beitir IPsec-stefnunni fyrir síu hýsilsins passar afhjúpaði L2TP-pakkinn sem UDP 1701; ef röðinni er snúið við sér reglusettið ytri portin. Báðar hegðanir eru til í reynd, þess vegna virðist sama reglusettið virka á einum vettvangi og mistakast á öðrum.

Athugaðu leiðina í réttri röð

Gerðu fyrst upptöku á ytri viðmótinu og staðfestu að IKE og umbúðað ESP hreyfist í báðar áttir. Athugaðu síðan teljara staðbundna eldveggsins fyrir afhjúpaða umferð. Röðin skiptir máli, því upptaka sem sýnir alls ekkert þýðir að vandamálið er ofar hýslinum.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Upptakan staðfestir fyrri hluta skiptanna og sýnir hvort mótaðilinn svarar. Reglulistinn sýnir hvort regla um 1701 sé til og hvar hún stendur gagnvart hvaða frágangsstefnu sem er. Sóttlistinn staðfestir að L2TP-púkinn er bundinn og hlustar, sem útilokar þjónustu sem hófst aldrei. Lestu alla þrjá áður en þú breytir reglu, því skortur á hlustanda og síað port valda sömu kvörtun frá notandanum.

Hvað portaskönnun getur ekki sýnt

Ytri skönnun á UDP 1701 gegn rétt stilltum netþjóni greinir venjulega frá engu, og það er væntanleg niðurstaða. Portið er ekki opið á internetið; aðeins er komist að því eftir að IPsec hefur staðfest mótaðilann. Að meðhöndla lokaðu niðurstöðuna sem bilun leiðir til að opna port sem ætti að vera lokað. Skönnunin getur ekki séð inn í göngin frekar en hún getur séð umferð forritsins.

Prófaðu í staðinn með raunverulegum biðlara, og lestu hvaða stigi hann nær. Ef tengingin semur og stöðvast svo er grunur á L2TP-púkanum eða staðbundnu síunni; ef hún semur aldrei eru það ytri portin. Þessi eina skipting fjarlægir mestu giskin um hvaða reglu eigi að bæta við, og lagskipting samskiptareglnanna gerir hana fyrirsjáanlega í stað ráðgátu.