47 хаттамасы мен TCP 47 порты: екі тақырыпша, екі ереже

Қонақүй желілері мен конференция брандмауэрлері жиі арнайы рұқсат ұяшығын көрсетеді, және біреу PPTP жұмыс істейді деп үміттеніп, оған 47 жазады. Ереже жасалады, туннель әлі де істемейді, ал келесі әрекет басқа нөмірді пайдаланады. Қате пакеттің өзінде: IPv4-те IP тақырыпшасынан кейін не келетінін атайтын хаттама өрісі бар, ал TCP мен UDP-де порт өрістері бар, олар сол тақырыпшалардың бірінің ішінде болғанда ғана болады. Бұлар бір рұқсаттың екі жазылуы емес.

IPv4 тақырыпшасы келесі хаттаманы атайды

Хаттама өрісі IPv4 тақырыпшасындағы бір байт және пайдалы жүктемені сипаттайтын санды ұстайды: TCP үшін 6, UDP үшін 17, GRE үшін 47, ESP үшін 50. Пакеттерді сүзетіннің бәрі тереңірек қарамас бұрын сол мәнді оқиды, өйткені тереңірек тақырыпша түрі белгілі болғаннан кейін ғана мағыналы. Әңгіменің кейінгі бөлігінде портты өзгерт, ал бұл өріс орнынан қозғалған жоқ.

Сондықтан 47 хаттамасына қарсы жазылған ереже IP қабатын сипаттайды. Шешімге ешбір порт қатыспайды.

Порттар TCP мен UDP ішінде болады, басқа жерде жоқ

Порттар TCP мен UDP тақырыпшаларының ішіндегі он алты биттік идентификаторлар, ал олардың міндеті бір мекенжайды бөлісетін әңгімелерді ажырату. GRE тақырыпшасы хаттама түрінің мәнін, көбінесе EtherType, қоса мультиплекстеу үшін қосымша кілттерді тасиды. Сондықтан порт 47 деген тіркес GRE пакеті сәйкес келе алатын ештеңені атамайды.

Брандмауэр интерфейстері мұның қаншасын көрсететінімен ерекшеленеді. Кейбіреуі хаттама нөмірін қабылдайды, кейбіреуі атаулы тізім ұсынады, ал аздағандары тек порттары бар TCP немесе UDP қабылдайды.

PPTP екі қабатты бір уақытта пайдаланады

PPTP ең айқын мысал, өйткені ол жұмысын екі қабатқа әдейі бөледі. Бақылау қосылымы 1723 портына TCP сессиясы, ал деректер жолы — GRE, 47 хаттамасы, еш жерде порт қатыспайды. 1723-ке рұқсат беріп, басқа ештеңеге рұқсат бермейтін брандмауэр келіссөзді бастауға жол береді де, жүктемені тастап кетеді. Туннель қосыла алмаудың орнына аутентификациядан кейін ілініп қалғандай көрінеді, сондықтан симптом жиі құпиясөз мәселесі ретінде хабарланады.

Ережені жазғанда екі жолды бөлек оқы және әрқайсысын өндірушінің синтаксисімен салыстыр. Бір жолға порт керек, екіншісіне хаттама нөмірі керек, ал бірде-бір жазба екеуін де қамтымайды.

Неліктен портты қайта бағыттау беті GRE-ді білдіре алмайды

Тек TCP мен UDP қабылдайтын бағыттау пішіні GRE-ді сипаттай алмайды, пішін қалай аталса да. Мекенжай аудару екінші қиындық қосады, өйткені GRE-де порттар жоқ және аударғыш оның орнына шақыру идентификаторын қадағалауы керек. Кейбір тұрмыстық маршрутизаторлар мұны шешетін көмекшімен келеді; көбісі келмейді, және ешбір қосымша TCP рұқсат жазбасы бұл мінез-құлықты жасамайды.

Нағыз талап заманауи туннель болса, аударғыш дұрыс табады деп үміттенудің орнына TCP немесе UDP-ні әдейі пайдаланатын дизайнды таңда.

Инкапсуляция сүзгінің нені көретінін анықтайды

Инкапсуляция сыртқы пакетті өзгертеді, ал ереже дәл сыртқы пакетпен сәйкестенеді. Табиғи ESP — 50 хаттамасы, ал NAT-тан өту ESP-ні UDP 4500 ішіне орап, оны мекенжай аударудан аман алып қалады. UDP 4500-ге рұқсат беретін сүзгі 50 хаттамасын ешқашан көрмейді, ал 50 хаттамасына жазылған сүзгі оралған пішінмен ешқашан сәйкеспейді.

Клиент пен шлюз қандай инкапсуляцияға келіскенін сұра, содан кейін ережені дәл сол сыртқы пішінге жаз, одан артық емес.

Ережені біреу тексере алатындай етіп жаз

Әр ережені мекенжай отбасы, сыртқы хаттама, бар болса көлік порттары, бағыт және екі шеткі нүкте ретінде өрнекте. Сарапшы сол сөйлемді пакет жазбасымен салыстырып, үкімге келе алады. 47-ні ашу туралы нұсқауды ешкім тексере алмайды, сондықтан ол процедуралар кітаптарында жылдар бойы қалады.

Оны дәлелдейтін сынақты қос: сыртқы интерфейсте жазу кезінде қосыл, және ізде шынымен пайда болатын сыртқы хаттама мен портты раста.