Неліктен L2TP/IPsec-ке IPsec-тен бөлек UDP 1701 қажет

IKE мен ESP-ге рұқсат беріп, UDP 1701-ге рұқсат бермейтін қабырға өрт сөндіргіштері L2TP қосылымдарын тіркелгі деректерінің мәселесіне ұқсайтын жолмен бұзады. Себебі L2TP біріншісінің ішінде жүретін екінші протокол. IPsec айырбасты тасымалдайды және растайды, ал L2TP UDP 1701 үстінде өз туннелін жүргізеді, оны жергілікті стек әлі де жеткізуі керек. Әрбір тақырыпшаның қайда пайда болатынын білу қай құрылғыға қай ереже қажет екенін түсіндіреді.

Екі протокол, екі порт жиынтығы

L2TP/IPsec қосылымы UDP 500-де IKE, аударма бар жерде UDP 4500-де NAT өтуін және жоқ жерде IP протоколы 50 ретінде ESP қолданады. L2TP өзі UDP 1701-дегі туннель протоколы және IPsec серіктесті растағаннан кейін жұмыс істейді. Екі жарты әртүрлі сәтсіздікке ұшырайды, ал олар туралы хабарлайтын журнал жолдары әртүрлі құрамдастардан келеді. Тек бірінші жартысын қамтитын ережелер жиынтығы келіссөз жүргізіп, содан кейін туннель кезеңінде өлетін қосылым жасайды.

Порт нөмірлері тасымалдау шеткі нүктелерін сипаттайды, ал ESP мүлде порт емес. Сондықтан тек TCP және UDP ережелерін ұсынатын өрт қабырғасының интерфейсі толық IPsec саясатын білдіре алмайды. 50 протоколына протокол ретінде рұқсат берілуі керек, ал тек UDP-ні атайтын ереже оған ешқашан сәйкес келмейді.

Қаптама портты түсіндіреді

Желіде L2TP/IPsec қосылымы әдетте 500-де IKE және 4500-де қапталған ESP көрсетеді. UDP 1701 тақырыпшасы қорғалған жүктеменің ішінде орналасқан, сондықтан сыртқы интерфейстегі түсірілім оны көрсетпейді. Жергілікті хост бұл датаграмманы L2TP демонына әлі де жеткізуі керек, ал жеткізу декапсуляциядан кейін орындалады. Сондықтан 1701 ережесі соңғы нүктенің өз өрт қабырғасына жатады, тіпті ешбір аралық құрылғы портты ешқашан көрмесе де.

Өңдеу тәртібі шатасудың көп бөлігін түсіндіреді. Егер стек IPsec саясатын хост сүзгісінен бұрын қолданса, декапсуляцияланған L2TP пакеті UDP 1701 ретінде сәйкестендіріледі; егер тәртіп кері болса, ережелер жиынтығы сыртқы порттарды көреді. Екі мінез-құлық та практикада кездеседі, сондықтан бірдей ережелер жиынтығы бір платформада жұмыс істеп, екіншісінде сәтсіздікке ұшырайтын сияқты көрінеді.

Жолды ретімен тексеріңіз

Алдымен сыртқы интерфейсті түсіріп, IKE мен қапталған ESP екі бағытта да қозғалатынын растаңыз. Содан кейін декапсуляцияланған трафик үшін жергілікті өрт қабырғасының санауыштарын тексеріңіз. Тәртіп маңызды, өйткені ештеңе көрсетпейтін түсірілім мәселенің хосттан жоғары екенін білдіреді.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Түсірілім айырбастың бірінші жартысын растайды және серіктес жауап беріп жатқанын көрсетеді. Ережелер тізімі 1701 ережесінің бар-жоғын және кез келген тастау саясатына қатысты қайда тұрғанын көрсетеді. Сокеттер тізімі L2TP демонының байланғанын және тыңдап жатқанын растайды, бұл ешқашан іске қосылмаған қызметті жоққа шығарады. Ережені өзгерту алдында үшеуін де оқыңыз, өйткені тыңдаушының болмауы мен сүзілген порт пайдаланушыдан бірдей шағым тудырады.

Порт скандауы нені көрсете алмайды

Дұрыс конфигурацияланған серверге қарсы UDP 1701-ді сырттан скандау әдетте ештеңе хабарламайды, және бұл күтілетін нәтиже. Порт интернетке ашылмаған; оған тек IPsec серіктесті растағаннан кейін жетуге болады. Жабық нәтижені ақау деп қарау жабық қалуы тиіс портты ашуға әкеледі. Скандау туннельдің ішін көре алмайды, дәл қолданба трафигін көре алмайтыны сияқты.

Оның орнына нақты клиентпен сынап көріңіз және ол қай кезеңге жететінін оқыңыз. Егер қосылым келіссөз жүргізіп, содан кейін тұрып қалса, күдікті — L2TP демоны немесе жергілікті сүзгі; егер ол ешқашан келіссөз жүргізбесе, кінәлі — сыртқы порттар. Осы бір бөлу қай ережені қосу керектігі туралы болжамның көп бөлігін алып тастайды, ал протоколдардың қабатталуы оны жұмбақ емес, болжамды етеді.