IKE TCP-ზე 4500: პორტის წესამდე ორივე მხარე შეამოწმეთ
TCP ინკაფსულაციაზე ორივე მხარე თანხმდება, მას firewall-ის წესი არ ანიჭებს. შეასრულეთ მსმენელის შემოწმება, ჩაწერა და მიღების ოთხი ეტაპი თანმიმდევრობით.
მხარდაჭერის ბილეთები ხშირად მაშინ მოდის, როცა firewall-ის ცვლილება უკვე დამტკიცებულია, გვირაბი კი კვლავ უარს ამბობს აწევაზე. ეს მოსალოდნელი შედეგია, როცა ფუნქცია მხოლოდ ერთ მხარეს აქვს: RFC 9329-ის მიხედვით TCP ინკაფსულაცია ორივე მხარეს უნდა დანერგოს და კონფიგურირდეს, და შეთანხმება კავშირის შიგნით ხდება, სანამ რაიმე დაცული ტრაფიკი გაივლის. პორტის გახსნა აცხადებს მსმენელს, რომელიც შეიძლება არ არსებობდეს, ხოლო მეორე მხარეს შესაბამისი კონფიგურაციის გარეშე მსმენელი კავშირს იღებს და შემდეგ დუმს. ქვემოთ მოცემული თანმიმდევრობა იაფ შემოწმებებს წინ აყენებს.
იცოდეთ, რას მატებს ოფცია სინამდვილეში
მშობლიური IPsec დაშიფრულ დატვირთვებს გადააქვს როგორც IP პროტოკოლი 50, დასაშვები პორტის ნომრის გარეშე. NAT traversal ამ პაკეტებს UDP-ში ახვევს და 4500 პორტზე აგზავნის, ამიტომაც ამდენი firewall წესი ახსენებს ამ პორტს. RFC 9329 ამატებს ნაკადის წარმოდგენას: IKE და IPsec პაკეტები ორივე ერთი TCP კავშირის შიგნით მოძრაობს, ჩვეულებრივ 4500 პორტზე.
ნაკადი ვებ-სერვისი არ არის. 4500-ზე TCP კავშირი არაფერს ამბობს HTTP-ზე, TLS-ზე ან პროქსისადმი მეგობრულობაზე, და გზაზე არსებული HTTP პროქსი ჩვეულებრივ კადრირებას გატეხს, ვიდრე გადაიტანს.
წინასწარი შემოწმება firewall-ის შეხებამდე
სტანდარტი TCP-ს UDP გზის მიმტოვებელი ქსელებისთვის სარეზერვო ვარიანტად აყენებს და არა მის შემცვლელად. მიიღეთ ორი ფაქტი თითოეული მომწოდებლისგან: ფუნქციის ზუსტი სახელი და ის ვერსია, რომელიც RFC 9329-ს ახორციელებს და არა საკუთარ ვარიანტს. IPsec over TCP-ის მსგავსი ეტიკეტები დაუკავშირებელი დიზაინებისთვის გამოიყენებოდა, ამიტომ მოითხოვეთ დოკუმენტის მითითება და კონფიგურაციის გასაღები, რომელიც მას რთავს. ორივე პასუხის გარეშე არაფერი ჩათვალეთ ღვედის თავსებადობაზე.
დაამტკიცეთ ეს ლაბორატორიაში, სადაც ორივე მხარე თქვენია. gateway, რომელიც TCP 4500-ზე პასუხობს, მაგრამ IKE-ს არასოდეს ამთავრებს, მეორე მხარეს შესაბამისი ინკაფსულაციის გარეშე მსმენელის ნიშანია, და ამის იქ აღმოჩენა გაცილებით იაფია, ვიდრე ცვლილების ფანჯრის დროს.
პასუხისმგებელ მხარეს: რამე ისმენს
დაიწყეთ სოკეტით. ss -ltnp | grep 4500 აჩვენებს, არსებობს თუ არა TCP მსმენელი და რომელი პროცესი ფლობს მას. ხაზის არარსებობა გამოძიებას ამთავრებს gateway-ის კონფიგურაციაზე და არა ქსელზე.
თუ სოკეტი არსებობს, დააკვირდით ხელის ჩამორთმევას კლიენტის მხრიდან გამოცნობის ნაცვლად: tcpdump -ni any 'tcp port 4500'. დასრულებული სამმხრივი ხელის ჩამორთმევა და შემდეგ სიჩუმე ნიშნავს, რომ ნაკადი მიღებულ იქნა და მის შიგნით IKE გაცვლა ვერ შედგა, ხოლო უპასუხო SYN ფილტრაციაზე ან არასწორ მისამართზე მიუთითებს.
შეადარეთ UDP გზას იმავე ჩაწერის ფანჯარაში, რომ ორი არ აირიოს: tcpdump -ni any 'udp port 4500 or proto 50'. ტრაფიკი 50 პროტოკოლზე ან UDP 4500 პორტზე, როცა ფიქრობთ, რომ TCP გამოიყენება, ნიშნავს, რომ მხარეები არასოდეს შეთანხმდნენ სარეზერვო ვარიანტზე. თუ შეგიძლიათ, ჩაწერეთ gateway-ზეც, რადგან კლიენტის მხრიდან ჩაწერა ვერ აჩვენებს, რა გაგზავნა შორეულმა მხარემ.
მიიღეთ ოთხ ცალკე ეტაპად
აღზევებას მოეპყარით როგორც ოთხ შედეგს. თითოეული სხვადასხვა მიზეზით შეიძლება ჩავარდეს, და ერთი გავლა ან ჩავარდნა მალავს, რომელი იყო, ამიტომ გაჩერდით პირველ ჩავარდნილ ეტაპზე და თავიდან დაიწყეთ.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
მეოთხე ეტაპია ის, რომელიც გამოტოვებულია. არსებულ სესიას შეუძლია განაგრძოს მუშაობა ქეშირებულ მდგომარეობაზე, ამიტომ სანამ ცვლილებას დახურავთ, გახსენით ახალი კავშირი gateway-ის უკან არსებულ ჰოსტთან. თუ მეორე ეტაპი ჩავარდა, ხოლო პირველი გავიდა, უთანხმოება წინადადებაში ან ინკაფსულაციის პარამეტრშია და არა firewall-ში.
უკან დაბრუნება და ჩართული დატოვების ფასი
დაგეგმეთ გაუქმება ცვლილებამდე: გამორთეთ ინკაფსულაციის ოფცია ორივე მხარეს და დაადასტურეთ, რომ გვირაბი UDP-ით ბრუნდება. შეინახეთ TCP წესი ერთი მიმოხილვის ციკლისთვის, თუ სარეზერვო ვარიანტი კვლავ დაგჭირდათ, შემდეგ წაშალეთ. 4500-ზე გამოუყენებელი მსმენელი ზედაპირია ოპერაციული ღირებულების გარეშე.
თვალი ადევნეთ წარმადობის ნიშანს, როცა რეალურ სამუშაოს ატარებს. TCP TCP-ის შიგნით ამატებს დადასტურების ფენებს, რომლებიც ერთ დანაკარგზე ჩერდება, და ერთ კავშირს გამყოფი ნაკადები შეიძლება ერთმანეთს დაბლოკოს, ამიტომ გაზომეთ ის აპლიკაცია, რომელიც გვირაბს გამოიყენებს და არა ping.
მიღების სია
დაადასტურეთ ფუნქციის სახელი და ვერსია ორივე მხარეს, მსმენელი პასუხისმგებელ მხარეს, ჩაწერა, რომელიც აჩვენებს დასრულებულ ხელის ჩამორთმევას, და დროის ნიშნებით ჩაწერილი ოთხი ეტაპი. დაამატეთ სარეზერვო ვარიანტის მიზეზი ცვლილების ჩანაწერს, რომ შემდეგმა ინჟინერმა იცოდეს, რატომ არის TCP იქ. ივარჯიშეთ უკან დაბრუნებაზე, სანამ დაგჭირდებათ.
თუ რომელიმე ეტაპი ჩავარდა, შეასწორეთ მხოლოდ ის ეტაპი. შიფრების ნაკრების ან იდენტობის პარამეტრების შეცვლა ტრანსპორტის პრობლემის დევნისთვის ჩვეულებრივ ამატებს მეორე, დაუკავშირებელ ჩავარდნას პირველზე.