TCP арқылы IKE 4500: порт ережесіне дейін екі жақты тексеріңіз
TCP инкапсуляциясын екі жақ та келіседі, оны брандмауэр ережесі бермейді. Тыңдаушыны тексеруді, түсірілімді және төрт қабылдау кезеңін ретімен орындаңыз.
Қолдау билеттері брандмауэр өзгерісі әлдеқашан бекітілген, ал туннель әлі көтерілуден бас тартқан кезде жиі келеді. Бұл мүмкіндік тек бір жақта болғанда күтілетін нәтиже: RFC 9329 бойынша TCP инкапсуляциясы екі жақта да енгізіліп, конфигурациялануы керек, және келісім қорғалған трафик қозғалмас бұрын қосылымның ішінде болады. Порт ашу бар болмауы мүмкін тыңдаушыны жариялайды, ал екінші жақта сәйкес конфигурациясыз тыңдаушы қосылымды қабылдап, содан кейін үнсіз қалады. Төмендегі реттілік арзан тексерулерді бірінші қояды.
Опция шын мәнінде не қосатынын біліңіз
Жергілікті IPsec шифрланған пайдалы жүктемелерді былай тасымалдайды: IP протоколы 50, рұқсат етілуі керек порт нөмірінсіз. NAT traversal бұл пакеттерді UDP-ге орап 4500 портына жібереді, сондықтан көптеген брандмауэр ережелері сол портты атайды. RFC 9329 ағындық көріністі қосады: IKE және IPsec пакеттері екеуі де бір TCP қосылымының ішінде жүреді, әдетте 4500 портына.
Ағын веб-қызмет емес. 4500-ге TCP қосылымы HTTP, TLS немесе проксиге қолайлылық туралы ештеңе айтпайды, ал жолдағы HTTP проксисі оны тасымалдаудың орнына кадрлауды бұзады.
Брандмауэрге тимес бұрын алдын ала тексеру
Стандарт TCP-ні UDP жолын тастайтын желілер үшін қосалқы нұсқа ретінде орналастырады, оның орнын басушы ретінде емес. Әр жеткізушіден екі дерек алыңыз: мүмкіндіктің нақты атауы және меншікті нұсқаның орнына RFC 9329-ды іске асыратын нұсқа. IPsec over TCP сияқты белгілер байланыссыз жобалар үшін қолданылған, сондықтан құжат сілтемесін және оны қосатын конфигурация кілтін сұраңыз. Екі жауапсыз сым үйлесімділігі туралы ештеңе болжамаңыз.
Мұны екі жағы да сіздікі болатын зертханада дәлелдеңіз. TCP 4500-ге жауап беретін, бірақ IKE-ні ешқашан аяқтамайтын шлюз екінші жақта сәйкес инкапсуляциясыз тыңдаушының белгісі, және оны сол жерде табу өзгеріс терезесі кезінде табуға қарағанда әлдеқайда арзан.
Жауап беруші жақта: бірдеңе тыңдап тұр ма
Сокеттен бастаңыз. ss -ltnp | grep 4500 TCP тыңдаушысының бар-жоғын және оны қай процесс ұстап тұрғанын көрсетеді. Жолдың болмауы тергеуді желіде емес, шлюз конфигурациясында аяқтайды.
Сокет бар болса, клиент жағынан болжаудың орнына қол алысуды бақылаңыз: tcpdump -ni any 'tcp port 4500'. Аяқталған үш жақты қол алысудан кейінгі үнсіздік ағынның қабылданғанын және ішіндегі IKE алмасуының сәтсіз аяқталғанын білдіреді, ал жауапсыз SYN сүзгілеуге немесе қате мекенжайға нұсқайды.
Екеуін шатастырмау үшін сол түсіру терезесінде UDP жолымен салыстырыңыз: tcpdump -ni any 'udp port 4500 or proto 50'. TCP қолданылып жатыр деп ойлаған кезде 50 протоколында немесе UDP 4500 портында трафик болуы екі жақтың қосалқы нұсқа туралы ешқашан келіспегенін білдіреді. Мүмкін болса, шлюзде де түсіріңіз, өйткені клиент жағындағы түсірілім алыс жақтың не жібергенін көрсете алмайды.
Төрт жеке кезеңде қабылдаңыз
Көтерілуді төрт нәтиже ретінде қарастырыңыз. Әрқайсысы әртүрлі себеппен сәтсіз болуы мүмкін, ал бір ғана өту немесе сәтсіздік қайсысы болғанын жасырады, сондықтан бірінші сәтсіз кезеңде тоқтап, жоғарыдан қайта бастаңыз.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Төртінші кезең — өткізіп жіберілетін кезең. Бар сессия кэштелген күйде жұмысын жалғастыруы мүмкін, сондықтан өзгерісті жаппас бұрын шлюздің артындағы хостқа жаңа қосылым ашыңыз. Екінші кезең сәтсіз болып, біріншісі өтсе, келіспеушілік ұсыныста немесе инкапсуляция параметрінде, брандмауэрде емес.
Кері қайтару және оны қосулы қалдыру құны
Өзгеріске дейін болдырмауды жоспарлаңыз: инкапсуляция опциясын екі жақта өшіріп, туннельдің UDP арқылы қайтатынын растаңыз. Қосалқы нұсқа қайта керек болса, TCP ережесін бір шолу цикліне қалдырып, содан кейін жойыңыз. 4500-дегі пайдаланылмаған тыңдаушы операциялық құндылығы жоқ беткей.
Нақты жұмыс тасығанда өнімділік белгісіне назар аударыңыз. TCP ішіндегі TCP бір жоғалтуда тұрып қалатын растау қабаттарын қосады, ал бір қосылымды бөлісетін ағындар бірін-бірі бөгей алады, сондықтан ping емес, туннельді пайдаланатын қолданбаны өлшеңіз.
Қабылдау тізімі
Екі жақтағы мүмкіндіктің атауы мен нұсқасын, жауап берушідегі тыңдаушыны, аяқталған қол алысуды көрсететін түсірілімді және уақыт белгілерімен тіркелген төрт кезеңді растаңыз. Келесі инженер TCP не үшін бар екенін білуі үшін өзгеріс жазбасына қосалқы нұсқаның себебін қосыңыз. Қажет болмай тұрып кері қайтаруды жаттығыңыз.
Қандай да бір кезең сәтсіз болса, тек сол кезеңді түзетіңіз. Көлік мәселесінің соңынан қуу үшін шифрлар жиынын немесе сәйкестендіру параметрлерін өзгерту әдетте біріншісінің үстіне екінші, байланыссыз сәтсіздік қосады.