Android ನಲ್ಲಿ ಪ್ರಮಾಣಿತವಲ್ಲದ UDP ಪೋರ್ಟ್ನಲ್ಲಿ IKEv2 ಏಕೆ ವಿಫಲವಾಗುತ್ತದೆ

ಗೇಟ್ವೇ UDP 4443 ನಲ್ಲಿ IKEv2 ಗೆ ಒಂದು ಕಾರಣಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ, ಪ್ರೊಫೈಲ್ನಲ್ಲಿ Server ಎಂಬ ಕ್ಷೇತ್ರವಿದೆ, ನೀವು ಹೋಸ್ಟ್ ಹೆಸರು ಮತ್ತು ಪೋರ್ಟ್ ಬರೆಯುತ್ತೀರಿ, ಮತ್ತು ಫೋನ್ ಸರ್ವರ್ ತಲುಪಲು ಸಾಧ್ಯವಿಲ್ಲ ಅಥವಾ ವಿಳಾಸವನ್ನು ಪರಿಹರಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ವರದಿ ಮಾಡುತ್ತದೆ. ಏನೂ ನಿರ್ಬಂಧಿಸಲ್ಪಟ್ಟಿಲ್ಲ. Android ನ ಸ್ಥಳೀಯ ಫಾರ್ಮ್ ಹೋಸ್ಟ್ ಅನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತದೆ, ಮತ್ತು Windows ನಲ್ಲೂ ಅದೇ ನಿಜ. ಕಸ್ಟಮ್ ಪೋರ್ಟ್ ಸರ್ವರ್ ಸೆಟ್ಟಿಂಗ್ ಆಗುವ ಮೊದಲು ಕ್ಲೈಂಟ್ನ ಸಾಮರ್ಥ್ಯವಾಗಿದೆ, ಮತ್ತು ಕೆಲವು ಕ್ಲೈಂಟ್ಗಳು ಮಾತ್ರ ಅದನ್ನು ವ್ಯಕ್ತಪಡಿಸಲು ಬಿಡುತ್ತವೆ. ಮೂರು ಭಾಗಗಳನ್ನು ಕ್ರಮವಾಗಿ ನೋಡಿ: ಕ್ಲೈಂಟ್ ಏನು ಹೇಳಬಲ್ಲದು, ಸರ್ವರ್ ಯಾವುದನ್ನು ಆಲಿಸುತ್ತಿದೆ, ಮತ್ತು ಎರಡೂ ತುದಿಗಳು ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಒಂದೇ ರೀತಿಯಲ್ಲಿ ಫ್ರೇಮ್ ಮಾಡುತ್ತವೆಯೇ.

ಫೋನ್ ವಾಸ್ತವವಾಗಿ ಏನು ಕಳುಹಿಸಿತು

ಹೆಸರಿಗಾಗಿ ಮಾಡಿದ ಕ್ಷೇತ್ರದಲ್ಲಿನ host:port ಸ್ಟ್ರಿಂಗ್ ಹೆಸರಾಗಿ ಪರಿಹರಿಸಲ್ಪಡುತ್ತದೆ. ಪರಿಹಾರಕ vpn.example.net:4443 ಗೆ ಏನನ್ನೂ ಹಿಂತಿರುಗಿಸುವುದಿಲ್ಲ, ಮತ್ತು ನೀವು ನೋಡುವ ದೋಷ ಪೋರ್ಟ್ನಲ್ಲಿ ಸಮಯ ಮೀರುವಿಕೆ ಅಲ್ಲ, ಹೆಸರು ಪರಿಹಾರ ಅಥವಾ ತಲುಪಲಾಗದಿರುವಿಕೆಯ ವೈಫಲ್ಯ. ಆ ವ್ಯತ್ಯಾಸ ಮುಖ್ಯ, ಏಕೆಂದರೆ ಚಿಕ್ಕ ಹೆಸರು ಅಥವಾ ಬೇರೆ ನೆಟ್ವರ್ಕ್ನೊಂದಿಗೆ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವುದು ಫಾರ್ಮ್ ಪಾರ್ಸ್ ಮಾಡಲಾಗದ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಎಂದಿಗೂ ಸರಿಪಡಿಸುವುದಿಲ್ಲ.

Android ನಲ್ಲಿನ ಸ್ಥಳೀಯ IKEv2 ಪ್ರೊಫೈಲ್, Windows ನ ಒಳನಿರ್ಮಿತ VPN ಕ್ಲೈಂಟ್ನಂತೆ, ಪ್ರಮಾಣಿತ IKE ಪೋರ್ಟ್ಗಳಿಗೆ ಜೋಡಿಸಲಾಗಿದೆ. ಎರಡೂ ಪೋರ್ಟ್ ಕ್ಷೇತ್ರವನ್ನು ತೋರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಸಂಪಾದನೆಯಿಂದ ಒಂದನ್ನು ಸೇರಿಸಲಾಗದು. ಆಪರೇಟರ್ನ ಆಲಿಸುವವರು ನಿಜವಾಗಿಯೂ 4443 ನಲ್ಲಿದ್ದರೆ, ಒಳನಿರ್ಮಿತ ಕ್ಲೈಂಟ್ ತಪ್ಪಾಗಿ ಸಂರಚಿಸಿದುದಲ್ಲ, ತಪ್ಪು ಸಾಧನ.

ಪೋರ್ಟ್ ತೋರಿಸುವ ಕ್ಲೈಂಟ್ ಬಳಸಿ

strongSwan ನ Android ಕ್ಲೈಂಟ್ ತನ್ನ ಸುಧಾರಿತ ಪ್ರೊಫೈಲ್ ಸೆಟ್ಟಿಂಗ್ಗಳಲ್ಲಿ ಸಂರಚಿಸಬಹುದಾದ ಸರ್ವರ್ ಪೋರ್ಟ್ ಅನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಇದು ಈ ವಿನ್ಯಾಸಕ್ಕೆ ಕೆಲಸ ಮಾಡುವ ಬಹುತೇಕ ಪ್ರತಿಯೊಂದು ಪಾಕವಿಧಾನದಲ್ಲೂ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆ ಬೆಂಬಲ ಆ ಕ್ಲೈಂಟ್ಗೆ ಸೇರಿದ್ದು: ಇನ್ನೊಂದು IKEv2 ಅಪ್ಲಿಕೇಶನ್, ಅಥವಾ ಅದೇ ಅಪ್ಲಿಕೇಶನ್ನ ವೆಂಡರ್ ಫೋರ್ಕ್, ಆಧಾರವಾಗಿರುವ strongSwan ಡೀಮನ್ ಬೆಂಬಲಿಸಿದರೂ ಅದೇ ಕ್ಷೇತ್ರವನ್ನು ತೋರಿಸದಿರಬಹುದು.

ಆಪರೇಟರ್ನಿಂದ ಇಡೀ ಸೆಟ್ ಅನ್ನು ಒಟ್ಟಿಗೆ ಕೇಳಿ: ಗೇಟ್ವೇ ಹೆಸರು, UDP ಪೋರ್ಟ್, ದೃಢೀಕರಣ ವಿಧಾನ, ಮತ್ತು ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷಿಸಬೇಕಾದ ಸರ್ವರ್ ಗುರುತು. ಕಸ್ಟಮ್ ಪೋರ್ಟ್ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಲು ಅಥವಾ ಪ್ರೋಟೋಕಾಲ್ಗಳನ್ನು ಬದಲಿಸಲು ಕಾರಣವಲ್ಲ. ಸ್ಥಾಪಿಸಿದ ಕ್ಲೈಂಟ್ ಪೋರ್ಟ್ ಅನ್ನು ನಿರೀಕ್ಷಿಸುವ ಸ್ಥಳದಲ್ಲಿ ಅದನ್ನು ನಮೂದಿಸಿ, ಮತ್ತು ಆ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಅಂತಹ ಕ್ಷೇತ್ರವಿಲ್ಲದಿದ್ದರೆ, ಉತ್ತರ ಊಹಿಸಿದ ಪರಿಹಾರವಲ್ಲ, ಇನ್ನೊಂದು ಅನುಮೋದಿತ ಕ್ಲೈಂಟ್.

ಸರ್ವರ್ಗೆ ಎರಡು ಪೋರ್ಟ್ಗಳಿವೆ, ಮತ್ತು ಎರಡೂ ಹೊಂದಿಕೆಯಾಗಬೇಕು

IKE UDP 500 ನಲ್ಲಿ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಮತ್ತು NAT ಟ್ರಾವರ್ಸಲ್ ಸಾಮಾನ್ಯವಾಗಿ IKE ಮತ್ತು ಸುತ್ತುವರಿದ ESP ಅನ್ನು UDP 4500 ಗೆ ಸರಿಸುತ್ತದೆ. ಇವು strongSwan ನಲ್ಲಿ ಪ್ರತ್ಯೇಕ ಸೆಟ್ಟಿಂಗ್ಗಳು, ಆದ್ದರಿಂದ ಒಂದೇ ಕಸ್ಟಮ್ ಪೋರ್ಟ್ಗೆ ಸರಿಸಿದ ಸರ್ವರ್ ಎರಡನ್ನೂ ಒಂದೇ ಮೌಲ್ಯಕ್ಕೆ ಬದಲಿಸಬೇಕು:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

ಎರಡೂ ಪಾತ್ರಗಳಿಗೆ ಒಂದೇ ಪೋರ್ಟ್ ಇದ್ದಾಗ, ಡೀಮನ್ ಅದೇ ಸಾಕೆಟ್ನಲ್ಲಿ IKE ಅನ್ನು ESP-in-UDP ನಿಂದ ಪ್ರತ್ಯೇಕಿಸಬೇಕು, ಅದನ್ನು IKE ಸಂದೇಶದ ಮೊದಲು ಬರುವ ನಾಲ್ಕು ಬೈಟ್ಗಳ ESP ಅಲ್ಲದ ಮಾರ್ಕರ್ನಿಂದ ಮಾಡುತ್ತದೆ. ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಕಸ್ಟಮ್ ಪೋರ್ಟ್ನಲ್ಲಿ ಮಾತುಕತೆ ನಡೆಸಿ ನಂತರ 4500 ನಲ್ಲಿ ಸದ್ದಿಲ್ಲದೆ ಮುಂದುವರಿಯಲು ಸಾಧ್ಯವಿಲ್ಲ, ಮತ್ತು ಆದ್ದರಿಂದ “ಪೋರ್ಟ್ ಬದಲಿಸಿ ಮಾತ್ರ” ಎಂಬ ನುಡಿಗಟ್ಟು ಫ್ರೇಮಿಂಗ್ ಅಗತ್ಯವನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ಫಾರ್ವರ್ಡಿಂಗ್ ಆಲಿಸುವವನಲ್ಲ

4443 ಅನ್ನು ಸಾಮಾನ್ಯ IKE ಆಲಿಸುವವರಿಗೆ ಫಾರ್ವರ್ಡ್ ಮಾಡುವುದು ಬಹುತೇಕ ಯಶಸ್ವಿಯಾಗಿ ಕಾಣುವ ವೈಫಲ್ಯ ವಿಧಾನ. ಮೊದಲ ವಿನಿಮಯ ಬರುತ್ತದೆ, ಸರ್ವರ್ ಉತ್ತರಿಸುತ್ತದೆ, ನಂತರ ಸಂಪರ್ಕ ನಿಲ್ಲುತ್ತದೆ ಅಥವಾ ಕೀಗಳನ್ನು ಏನೂ ಇಲ್ಲದಂತೆ ಮರುಸೃಷ್ಟಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಉತ್ತರ ಬೇರೆ ಪೋರ್ಟ್ನಿಂದ ಹೊರಡುತ್ತದೆ ಮತ್ತು ನಂತರದ ಸುತ್ತುವರಿದ ಸಂಚಾರ ಎರಡೂ ತುದಿಗಳು ರಚಿಸಿದ ಸ್ಥಿತಿಗೆ ಎಂದಿಗೂ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ. ಆಲಿಸುವವರನ್ನು ಸರಿಸದೆ ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ ಅನ್ನು ಪುನಃ ಬರೆಯುವ ನಿಯಮ ನಿಖರವಾಗಿ ಈ ಅರ್ಧ-ತೆರೆದ ಫಲಿತಾಂಶವನ್ನು ನೀಡುತ್ತದೆ.

ಮಾರ್ಗವು UDP ಗೆ ಸಹ ತುದಿಯಿಂದ ತುದಿಗೆ ಅನುಮತಿ ನೀಡಬೇಕು. TCP 443 ಹೋಟೆಲ್ ಅಥವಾ ಆಪರೇಟರ್ ನೆಟ್ವರ್ಕ್ ಮೂಲಕ ಹಾದುಹೋಗುವುದು UDP ಪೋರ್ಟ್ನಲ್ಲಿ IKEv2 ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಸಂಖ್ಯೆ ಒಂದೇ ಆದರೂ. TCP 443 ಮಾತ್ರ ಅನುಮತಿಸಿದ ಸ್ಥಳದಲ್ಲಿ, ಕಸ್ಟಮ್ UDP ಪೋರ್ಟ್ IKEv2 ಅನ್ನು HTTPS ಆಗಿ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಸರಿಯಾದ ಉತ್ತರ ಇನ್ನೊಂದು ಪೋರ್ಟ್ ಪ್ರಯೋಗವಲ್ಲ, ಬೇರೆ ಪ್ರವೇಶ ಮಾರ್ಗವಾಗಿರಬಹುದು.

ಪರೀಕ್ಷಿಸುವಾಗ ಮೂರು ಹಂತಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸಿ

ಕ್ಲೈಂಟ್ ಒಮ್ಮೆ ಪ್ರಯತ್ನಿಸುವಾಗ ಸರ್ವರ್ನಲ್ಲಿ ಸೆರೆಹಿಡಿಯಿರಿ. ಎಂದಿಗೂ ಬಾರದ ವಿನಂತಿ ತುದಿ ಬಿಂದು ಅಥವಾ ಫೈರ್ವಾಲ್ ಪ್ರಶ್ನೆ; ಉತ್ತರವಿಲ್ಲದೆ ಬರುವ ವಿನಂತಿ ಆಲಿಸುವವರು ಅಥವಾ ನೀತಿಯ ಪ್ರಶ್ನೆ; ಮೌನವು ಹಿಂಬಾಲಿಸುವ ಉತ್ತರ ಫ್ರೇಮಿಂಗ್ ಅಥವಾ ಗುರುತಿನ ಪ್ರಶ್ನೆ.

tcpdump -ni eth0 -vv udp port 4443

ನಂತರ ಕ್ಲೈಂಟ್ನ ತಿರುಗುವ ಸೂಚಕವಲ್ಲ, ಅದರ ಸಂದೇಶವನ್ನು ಓದಿ. ಪ್ರಸ್ತಾವ ದೋಷ ಎಂದರೆ ಅಲ್ಗಾರಿದಮ್ಗಳು ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ, ದೃಢೀಕರಣ ವೈಫಲ್ಯ ಎಂದರೆ ಗುರುತುಗಳು ಅಥವಾ ಪ್ರಮಾಣಪತ್ರಗಳು ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಉತ್ತರವಿಲ್ಲದ ಪುನರಾವರ್ತಿತ ಮರುಕಳುಹಿಸುವಿಕೆ ಎಂದರೆ ಆ ಪೋರ್ಟ್ನಲ್ಲಿ ಏನೂ ಉತ್ತರಿಸುತ್ತಿಲ್ಲ. ಒಮ್ಮೆಗೆ ಒಂದು ಹಂತವನ್ನು ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಪ್ರಯತ್ನಗಳ ನಡುವೆ ಒಂದು ಕ್ಷೇತ್ರವನ್ನು ಬದಲಿಸಿ; NAT ಟ್ರಾವರ್ಸಲ್ ಬಗ್ಗೆ strongSwan ನ ದಾಖಲೆ ಸೆರೆಹಿಡಿಯುವಿಕೆ ನಿಮಗೆ ತೋರಿಸುತ್ತಿರುವ ಮಾರ್ಕರ್ ಮತ್ತು ಪೋರ್ಟ್ ವರ್ತನೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ.