ESP — бул IP 50 протоколу, TCP 50 порту эмес: эмнеге уруксат берүү керек
Протокол номурлары жана порт номурлары — ар башка ат мейкиндиктери. TCP 50 порту үчүн эреже эч нерсеге уруксат бербейт, ал эми NAT traversal ESPни UDP 4500гө жылдырат.
Firewall формалары TCP портун сурайт, ал эми ачык жооп — 50. Бул жооп эч нерсеге уруксат бербейт, анткени ESP — 50 номурлуу IP протоколу, ал эми протокол номурлары порт эмес. Эки ат мейкиндиги бир гана кичине бүтүн сандарды бөлүшөт, башка эч нерсени, жана ката IKE бүтпөйүнчө жана корголгон трафик эч качан келмейинче көрүнбөйт.
Кичине сандарды бөлүшкөн эки ат мейкиндиги
IP аталышы кийинки эмнени атай турган протокол талаасын алып жүрөт: TCP үчүн 6, UDP үчүн 17, ICMP үчүн 1, ESP үчүн 50, AH үчүн 51. TCP же UDP аталышы порт номурларын алып жүрөт, алар максаттуу хосттогу процессти тандайт. 50 протоколу жана TCP 50 порту байланышсыз маанилер, бирок диалог терезеси аларды алмаштырыла тургандай көрсөтө алат.
Ошондуктан портту багыттоо эрежеси жергиликтүү ESPни билдире албайт. Багыттоо үчүн ESP максаттуу порту жок, ал эми порт эрежелерин гана түшүнгөн түзмөктүн бул пакет үчүн сөздүгү такыр жок. Туура эреже анын ордуна IP протоколун атайт. Ар кандай порт диалогу бул пакет үчүн туура эмес курал.
Чаташуунун экинчи жарымы да бар. Пакет шифрленгенде ичиндегинин баары тунук эмес, анын ичинде баштапкы туташуунун TCP аталышы да. Ошол пакеттеги портторду текшерген firewall сырткы аталышка карайт, ал эми жергиликтүү учурда анда текшериле турган порт жок.
Жергиликтүү ESP, андан кийин капсулаганылган балама
Жергиликтүү ESP түздөн-түз IP протоколу катары ташылат, бул бирдей натыйжалуу жана ыңгайсыз. Натыйжалуу, анткени кошумча аталыш жок, жана ыңгайсыз, анткени даректерди жана портторду которгон ар кандай түзмөк аны көзөмөлдөй албайт. NAT traversal так ушуну чечүү үчүн бар: ESP пакетин UDP ичине ороп, котормочуга кайра жаза турган портторду берет.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Эки форма — бир эле маалымат каналынын балама жайгаштыруулары, биринин катмарлары эмес. Жергиликтүү ESPге уруксат берүү капсулаганылган формага уруксат бербейт, ал эми UDP 4500гө уруксат берүү жергиликтүү трафикке уруксат бербейт, ошондуктан эрежелер жыйнагы жайгаштырууга шайкеш келиши керек, кокусунан экөөнү тең жаппашы керек.
Бул жерде аныктоо да маанилүү. Учтагы пункттар сүйлөшүү учурунда формалардын ортосунда чечим кабыл алышат, ал эми алмашуу адатта алардын ортосунда NAT аныкталганда болот. Ошондуктан туннель орнотулгандан кийин өзгөргөн жол трафикти сиздин эрежелериңиз эч качан жаббаган ат мейкиндигине жылдырышы мүмкүн.
Туташуу чындыгында кайсы форманы колдонорун окуңуз
Firewallдан божомолдоонун ордуна учтагы пункттан сураңыз. Linuxта абал жазуусу биригүүнүн UDP капсуласын колдонгонун жана кайсы порттор катышканын билдирет. Пакетти кармоо ошол эле суроого зымдан жооп берет, жана экөө тең эрежелер жыйнагын окуп, үмүт кылуудан тезирээк.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Биринчи буйрук NAT traversal колдонулганда капсулоо түрүн көрсөтөт, ал эми колдонулбаганда эч нерсе көрсөтпөйт. Экинчиси эки форманын кайсынысы чындыгында интерфейстен өтүп жатканын көрсөтөт, жана бул кагазда туура көрүнгөн конфигурация тууралуу талаштарды бүтүрөт.
Каршы далил ошол эле кадамга таандык. Нөлдүк дал келүү тууралуу билдирген эреже пакеттин ага эч качан жетпегенин айтат, жана бул firewall эмес, маршруттоо же селектор маселеси.
Андан кийин башкаруу каналын өзүнчө ырастаңыз. IKEдин өз порттору жана өз журналдары бар, ал эми маалыматсыз бүткөн сүйлөшүү — бул макала айткан бөлүнүү.
Эрежени туура ат мейкиндигинде жазыңыз
Протокол эрежеси жана порт эрежеси ар башка нускамалар, ошондуктан курал сиз айтканды билдириши керек. nftablesте протокол дал келүүсү ачык, ал эми капсулаганылган балама өзүнүн UDP эрежесин алат. Эки эрежени катар кармаңыз, кароодо жуп көрүнө турган болсун.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptТуура эмес диагностиканы жабуу үчүн эрежелердин кайсынысын болбосун кеңейтүүгө каршы тургула. Ар интерфейсте ESP протоколу үчүн баарына уруксат берүү же кайсы жерден кайсы жерге болбосун UDP уруксаты симптомду оңдойт жана сиз орноткуңуз келген көзөмөлдү жояды. Форма белгилүү болгондон кийин тар колдоого алынган агым дээрлик ар дайым жетиштүү.
Акырында, туннель иштеп, колдонмо иштебегенде катмарларды туура кармаңыз. Шлюзга жеткен пакеттерге дагы эле багыттоо, кайтаруу маршруту жана аларды кабыл алган саясат керек, жана алардын эч бири ESP эрежеси менен туюнтулбайт. Жетишпеген порт конкреттүү бир бузулууну түшүндүрөт, IPsecтин бардык бузулуусун эмес. Эрежени оңдоону жана маршруттоону текшерүүнү эки өзүнчө жыйынтык катары кармаңыз.
Байкаган формаңызды, кошкон протокол эрежеңизди жана кийин көргөн эсептегичти жазыңыз. Үч сап, жана кийинки адам ат мейкиндигинин катасын маршруттоо катасынан жарым күндүн ордуна бир мүнөттө ажырата алат.