TCP ಮೇಲೆ IKE 4500: ಪೋರ್ಟ್ ನಿಯಮ ಮೊದಲು ಎರಡೂ ತುದಿಗಳನ್ನು ಪರಿಶೀಲಿಸಿ
TCP ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಅನ್ನು ಎರಡೂ ತುದಿಗಳು ಮಾತುಕತೆ ಮಾಡುತ್ತವೆ, ಫೈರ್ವಾಲ್ ನಿಯಮ ಅದನ್ನು ನೀಡುವುದಿಲ್ಲ. ಲಿಸನರ್ ಪರಿಶೀಲನೆ, ಕ್ಯಾಪ್ಚರ್ ಮತ್ತು ನಾಲ್ಕು ಸ್ವೀಕೃತಿ ಹಂತಗಳನ್ನು ಕ್ರಮವಾಗಿ ನಡೆಸಿ.
ಬೆಂಬಲ ಟಿಕೆಟ್ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಫೈರ್ವಾಲ್ ಬದಲಾವಣೆ ಈಗಾಗಲೇ ಅನುಮೋದಿತವಾಗಿರುವಾಗ ಮತ್ತು ಸುರಂಗ ಇನ್ನೂ ಮೇಲಕ್ಕೆ ಬರಲು ನಿರಾಕರಿಸುವಾಗ ಬರುತ್ತವೆ. ಕೇವಲ ಒಂದು ತುದಿಯಲ್ಲಿ ವೈಶಿಷ್ಟ್ಯವಿದ್ದಾಗ ಇದೇ ನಿರೀಕ್ಷಿತ ಫಲಿತಾಂಶ: RFC 9329 ಪ್ರಕಾರ TCP ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಜಾರಿಗೊಳಿಸಿ ಸಂರಚಿಸಬೇಕು, ಮತ್ತು ಯಾವುದೇ ಸಂರಕ್ಷಿತ ಸಂಚಾರ ಚಲಿಸುವ ಮೊದಲು ಒಪ್ಪಂದ ಸಂಪರ್ಕದ ಒಳಗೆ ನಡೆಯುತ್ತದೆ. ಪೋರ್ಟ್ ತೆರೆಯುವುದು ಇಲ್ಲದಿರಬಹುದಾದ ಲಿಸನರ್ ಅನ್ನು ಘೋಷಿಸುತ್ತದೆ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯಲ್ಲಿ ಹೊಂದಿಕೆಯಾಗುವ ಸಂರಚನೆ ಇಲ್ಲದ ಲಿಸನರ್ ಸಂಪರ್ಕವನ್ನು ಸ್ವೀಕರಿಸಿ ನಂತರ ಸುಮ್ಮನಾಗುತ್ತದೆ. ಕೆಳಗಿನ ಕ್ರಮವು ಅಗ್ಗದ ಪರಿಶೀಲನೆಗಳನ್ನು ಮೊದಲು ಇಡುತ್ತದೆ.
ಆಯ್ಕೆ ನಿಜವಾಗಿ ಏನು ಸೇರಿಸುತ್ತದೆ ಎಂದು ತಿಳಿಯಿರಿ
ಸ್ಥಳೀಯ IPsec ಗೂಢಲಿಪೀಕೃತ ಪೇಲೋಡ್ಗಳನ್ನು ಹೀಗೆ ಸಾಗಿಸುತ್ತದೆ: IP ಪ್ರೋಟೋಕಾಲ್ 50, ಅನುಮತಿಸಬೇಕಾದ ಪೋರ್ಟ್ ಸಂಖ್ಯೆ ಇಲ್ಲದೆ. NAT ಟ್ರಾವರ್ಸಲ್ ಆ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು UDP ನಲ್ಲಿ ಸುತ್ತಿ ಪೋರ್ಟ್ 4500 ಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಆದ್ದರಿಂದಲೇ ಇಷ್ಟು ಫೈರ್ವಾಲ್ ನಿಯಮಗಳು ಆ ಪೋರ್ಟ್ ಅನ್ನು ಉಲ್ಲೇಖಿಸುತ್ತವೆ. RFC 9329 ಸ್ಟ್ರೀಮ್ ನಿರೂಪಣೆಯನ್ನು ಸೇರಿಸುತ್ತದೆ: IKE ಮತ್ತು IPsec ಪ್ಯಾಕೆಟ್ಗಳು ಎರಡೂ ಒಂದೇ TCP ಸಂಪರ್ಕದ ಒಳಗೆ, ಸಾಮಾನ್ಯವಾಗಿ ಪೋರ್ಟ್ 4500 ಗೆ ಸಾಗುತ್ತವೆ.
ಸ್ಟ್ರೀಮ್ ವೆಬ್ ಸೇವೆ ಅಲ್ಲ. 4500 ಗೆ TCP ಸಂಪರ್ಕ HTTP, TLS ಅಥವಾ ಪ್ರಾಕ್ಸಿ ಸ್ನೇಹಶೀಲತೆಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಮಾರ್ಗದಲ್ಲಿನ HTTP ಪ್ರಾಕ್ಸಿ ಸಾಮಾನ್ಯವಾಗಿ ಅದನ್ನು ಸಾಗಿಸುವ ಬದಲು ಚೌಕಟ್ಟನ್ನು ಮುರಿಯುತ್ತದೆ.
ಫೈರ್ವಾಲ್ ಮುಟ್ಟುವ ಮೊದಲು ಪೂರ್ವ ಪರಿಶೀಲನೆ
ಮಾನಕವು TCP ಅನ್ನು UDP ಮಾರ್ಗವನ್ನು ಬಿಟ್ಟುಬಿಡುವ ಜಾಲಗಳಿಗೆ ಬ್ಯಾಕಪ್ ಆಗಿ ಇಡುತ್ತದೆ, ಅದರ ಬದಲಿಗಲ್ಲ. ಪ್ರತಿ ಪೂರೈಕೆದಾರರಿಂದ ಎರಡು ಸಂಗತಿಗಳನ್ನು ಪಡೆಯಿರಿ: ವೈಶಿಷ್ಟ್ಯದ ನಿಖರ ಹೆಸರು ಮತ್ತು ಸ್ವಂತ ರೂಪಾಂತರದ ಬದಲು RFC 9329 ಅನ್ನು ಜಾರಿಗೊಳಿಸುವ ಆವೃತ್ತಿ. IPsec over TCP ನಂತಹ ಲೇಬಲ್ಗಳನ್ನು ಸಂಬಂಧವಿಲ್ಲದ ವಿನ್ಯಾಸಗಳಿಗೆ ಬಳಸಲಾಗಿದೆ, ಆದ್ದರಿಂದ ದಾಖಲೆ ಉಲ್ಲೇಖ ಮತ್ತು ಅದನ್ನು ಆನ್ ಮಾಡುವ ಸಂರಚನಾ ಕೀಯನ್ನು ಕೇಳಿ. ಎರಡೂ ಉತ್ತರಗಳಿಲ್ಲದೆ ತಂತಿ ಹೊಂದಾಣಿಕೆಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಊಹಿಸಬೇಡಿ.
ಎರಡೂ ತುದಿಗಳು ನಿಮ್ಮವಾದ ಪ್ರಯೋಗಾಲಯದಲ್ಲಿ ಅದನ್ನು ಸಾಬೀತುಪಡಿಸಿ. TCP 4500 ಗೆ ಉತ್ತರಿಸುವ ಆದರೆ IKE ಅನ್ನು ಎಂದಿಗೂ ಪೂರ್ಣಗೊಳಿಸದ ಗೇಟ್ವೇ ಇನ್ನೊಂದು ಬದಿಯಲ್ಲಿ ಹೊಂದಿಕೆಯಾಗುವ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಇಲ್ಲದ ಲಿಸನರ್ನ ಲಕ್ಷಣ, ಮತ್ತು ಅದನ್ನು ಅಲ್ಲಿ ಕಂಡುಹಿಡಿಯುವುದು ಬದಲಾವಣೆ ವಿಂಡೋದಲ್ಲಿ ಕಂಡುಹಿಡಿಯುವುದಕ್ಕಿಂತ ಬಹಳ ಅಗ್ಗ.
ಪ್ರತಿಸ್ಪಂದಕದಲ್ಲಿ: ಏನಾದರೂ ಆಲಿಸುತ್ತಿದೆಯೇ
ಸಾಕೆಟ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ. ss -ltnp | grep 4500 TCP ಲಿಸನರ್ ಇದೆಯೇ ಮತ್ತು ಯಾವ ಪ್ರಕ್ರಿಯೆ ಅದನ್ನು ಹೊಂದಿದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಸಾಲು ಇಲ್ಲದಿರುವುದು ತನಿಖೆಯನ್ನು ಜಾಲದಲ್ಲಿ ಅಲ್ಲ, ಗೇಟ್ವೇ ಸಂರಚನೆಯಲ್ಲಿ ಕೊನೆಗೊಳಿಸುತ್ತದೆ.
ಸಾಕೆಟ್ ಇದ್ದರೆ, ಕ್ಲೈಂಟ್ ಬದಿಯಿಂದ ಊಹಿಸುವ ಬದಲು ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ನು ಗಮನಿಸಿ: tcpdump -ni any 'tcp port 4500'. ಪೂರ್ಣಗೊಂಡ ಮೂರು-ಮಾರ್ಗದ ಹ್ಯಾಂಡ್ಶೇಕ್ ನಂತರ ಮೌನ ಎಂದರೆ ಸ್ಟ್ರೀಮ್ ಸ್ವೀಕರಿಸಲ್ಪಟ್ಟಿತು ಮತ್ತು ಅದರೊಳಗಿನ IKE ವಿನಿಮಯ ವಿಫಲವಾಯಿತು, ಆದರೆ ಉತ್ತರವಿಲ್ಲದ SYN ಫಿಲ್ಟರಿಂಗ್ ಅಥವಾ ತಪ್ಪು ವಿಳಾಸವನ್ನು ಸೂಚಿಸುತ್ತದೆ.
ಎರಡೂ ಗೊಂದಲವಾಗದಂತೆ ಅದೇ ಕ್ಯಾಪ್ಚರ್ ವಿಂಡೋದಲ್ಲಿ UDP ಮಾರ್ಗದೊಂದಿಗೆ ಹೋಲಿಸಿ: tcpdump -ni any 'udp port 4500 or proto 50'. TCP ಬಳಕೆಯಲ್ಲಿದೆ ಎಂದು ನೀವು ಭಾವಿಸುವಾಗ ಪ್ರೋಟೋಕಾಲ್ 50 ಅಥವಾ UDP ಪೋರ್ಟ್ 4500 ನಲ್ಲಿ ಸಂಚಾರ ಇದ್ದರೆ ಎರಡೂ ತುದಿಗಳು ಬ್ಯಾಕಪ್ ಬಗ್ಗೆ ಎಂದಿಗೂ ಒಪ್ಪಿಕೊಂಡಿಲ್ಲ ಎಂದರ್ಥ. ಸಾಧ್ಯವಾದರೆ ಗೇಟ್ವೇನಲ್ಲೂ ಕ್ಯಾಪ್ಚರ್ ಮಾಡಿ, ಏಕೆಂದರೆ ಕ್ಲೈಂಟ್ ಬದಿಯ ಕ್ಯಾಪ್ಚರ್ ದೂರದ ತುದಿ ಏನು ಕಳುಹಿಸಿತು ಎಂದು ತೋರಿಸಲಾರದು.
ನಾಲ್ಕು ಪ್ರತ್ಯೇಕ ಹಂತಗಳಲ್ಲಿ ಸ್ವೀಕರಿಸಿ
ಮೇಲೇರುವಿಕೆಯನ್ನು ನಾಲ್ಕು ಫಲಿತಾಂಶಗಳಾಗಿ ಪರಿಗಣಿಸಿ. ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಕಾರಣಕ್ಕೆ ವಿಫಲವಾಗಬಹುದು, ಮತ್ತು ಒಂದೇ ಉತ್ತೀರ್ಣ ಅಥವಾ ವಿಫಲ ಯಾವುದು ಎಂದು ಮರೆಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ವಿಫಲವಾದ ಮೊದಲ ಹಂತದಲ್ಲಿ ನಿಲ್ಲಿಸಿ ಮತ್ತೆ ಮೇಲಿನಿಂದ ಪ್ರಾರಂಭಿಸಿ.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
ನಾಲ್ಕನೇ ಹಂತವೇ ತಪ್ಪಿಸಲ್ಪಡುತ್ತದೆ. ಇರುವ ಅಧಿವೇಶನ ಕ್ಯಾಶ್ ಮಾಡಿದ ಸ್ಥಿತಿಯಲ್ಲಿ ಕೆಲಸ ಮುಂದುವರಿಸಬಹುದು, ಆದ್ದರಿಂದ ಬದಲಾವಣೆಯನ್ನು ಮುಚ್ಚುವ ಮೊದಲು ಗೇಟ್ವೇ ಹಿಂದಿನ ಹೋಸ್ಟ್ಗೆ ಹೊಸ ಸಂಪರ್ಕ ತೆರೆಯಿರಿ. ಎರಡನೇ ಹಂತ ವಿಫಲವಾಗಿ ಮೊದಲನೇ ಹಂತ ಉತ್ತೀರ್ಣವಾದರೆ, ಭಿನ್ನಾಭಿಪ್ರಾಯ ಪ್ರಸ್ತಾಪದಲ್ಲಿ ಅಥವಾ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಸೆಟ್ಟಿಂಗ್ನಲ್ಲಿ ಇದೆ, ಫೈರ್ವಾಲ್ನಲ್ಲಿ ಅಲ್ಲ.
ಹಿಂಪಡೆಯುವಿಕೆ, ಮತ್ತು ಅದನ್ನು ಆನ್ ಇಡುವ ವೆಚ್ಚ
ಬದಲಾವಣೆಗೆ ಮೊದಲು ರದ್ದತಿಯನ್ನು ಯೋಜಿಸಿ: ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಆಯ್ಕೆಯನ್ನು ಆಫ್ ಮಾಡಿ ಮತ್ತು ಸುರಂಗ UDP ಮೂಲಕ ಹಿಂತಿರುಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಬ್ಯಾಕಪ್ ಮತ್ತೆ ಬೇಕಾದರೆ ಒಂದು ಪರಿಶೀಲನಾ ಚಕ್ರಕ್ಕೆ TCP ನಿಯಮವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ನಂತರ ತೆಗೆದುಹಾಕಿ. 4500 ನಲ್ಲಿ ಬಳಸದ ಲಿಸನರ್ ಯಾವುದೇ ಕಾರ್ಯಾಚರಣಾ ಮೌಲ್ಯವಿಲ್ಲದ ಮೇಲ್ಮೈ.
ನಿಜವಾದ ಕೆಲಸವನ್ನು ಸಾಗಿಸಲು ಪ್ರಾರಂಭಿಸಿದಾಗ ಕಾರ್ಯಕ್ಷಮತೆಯ ಲಕ್ಷಣವನ್ನು ಗಮನಿಸಿ. TCP ಒಳಗೆ TCP ಒಂದೇ ನಷ್ಟದಲ್ಲಿ ನಿಲ್ಲುವ ಸ್ವೀಕೃತಿ ಪದರಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ, ಮತ್ತು ಒಂದೇ ಸಂಪರ್ಕವನ್ನು ಹಂಚಿಕೊಳ್ಳುವ ಸ್ಟ್ರೀಮ್ಗಳು ಪರಸ್ಪರ ಬ್ಲಾಕ್ ಮಾಡಬಹುದು, ಆದ್ದರಿಂದ ping ಬದಲು ಸುರಂಗವನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಅಳೆಯಿರಿ.
ಸ್ವೀಕೃತಿ ಪಟ್ಟಿ
ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ವೈಶಿಷ್ಟ್ಯದ ಹೆಸರು ಮತ್ತು ಆವೃತ್ತಿ, ಪ್ರತಿಸ್ಪಂದಕದಲ್ಲಿ ಲಿಸನರ್, ಪೂರ್ಣ ಹ್ಯಾಂಡ್ಶೇಕ್ ತೋರಿಸುವ ಕ್ಯಾಪ್ಚರ್, ಮತ್ತು ಸಮಯ ಮುದ್ರೆಗಳೊಂದಿಗೆ ದಾಖಲಾದ ನಾಲ್ಕು ಹಂತಗಳನ್ನು ಖಚಿತಪಡಿಸಿ. ಮುಂದಿನ ಎಂಜಿನಿಯರ್ TCP ಏಕೆ ಇದೆ ಎಂದು ತಿಳಿಯಲು ಬದಲಾವಣೆ ದಾಖಲೆಗೆ ಬ್ಯಾಕಪ್ನ ಕಾರಣವನ್ನು ಸೇರಿಸಿ. ಅಗತ್ಯವಾಗುವ ಮೊದಲು ಹಿಂಪಡೆಯುವಿಕೆಯನ್ನು ಅಭ್ಯಾಸ ಮಾಡಿ.
ಯಾವುದೇ ಹಂತ ವಿಫಲವಾದರೆ, ಆ ಹಂತವನ್ನು ಮಾತ್ರ ಸರಿಪಡಿಸಿ. ಸಾರಿಗೆ ಸಮಸ್ಯೆಯನ್ನು ಹಿಂಬಾಲಿಸಲು ಸೈಫರ್ ಸೂಟ್ ಅಥವಾ ಗುರುತಿನ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಾಯಿಸುವುದು ಸಾಮಾನ್ಯವಾಗಿ ಮೊದಲನೆಯ ಮೇಲೆ ಎರಡನೇ, ಸಂಬಂಧವಿಲ್ಲದ ವೈಫಲ್ಯವನ್ನು ಸೇರಿಸುತ್ತದೆ.