TCP аркылуу IKE 4500: порт эрежесинен мурун эки тарапты тең текшериңиз
TCP инкапсуляциясын эки тарап тең сүйлөшөт, аны брандмауэр эрежеси бербейт. Угуучуну текшерүүнү, жазууну жана төрт кабыл алуу баскычын тартиби менен аткарыңыз.
Колдоо билеттери брандмауэр өзгөртүүсү буга чейин бекитилип, туннель дагы эле көтөрүлүүдөн баш тартканда көп келет. Бул мүмкүнчүлүк бир гана тарапта болгондо күтүлгөн натыйжа: RFC 9329 боюнча TCP инкапсуляциясы эки тарапта тең киргизилип, конфигурацияланышы керек, жана макулдашуу корголгон трафик кыймылдабастан мурун байланыштын ичинде болот. Порт ачуу болушу мүмкүн эмес угуучуну жарыялайт, ал эми экинчи тарапта шайкеш конфигурациясыз угуучу байланышты кабыл алып, анан унчукпайт. Төмөнкү тартип арзан текшерүүлөрдү биринчи коёт.
Опция чындыгында эмнени кошоорун билиңиз
Жергиликтүү IPsec шифрленген пайдалуу жүктөрдү мындай ташыйт: IP протоколу 50, уруксат берилүүчү порт номери жок. NAT traversal бул пакеттерди UDPге ороп 4500 портуна жөнөтөт, ошондуктан көптөгөн брандмауэр эрежелери ошол портту эскеришет. RFC 9329 агындык көрүнүштү кошот: IKE жана IPsec пакеттери экөө тең бир TCP байланышынын ичинде, адатта 4500 портуна жүрөт.
Агым веб-кызмат эмес. 4500гө TCP байланышы HTTP, TLS же проксиге ыңгайлуулук жөнүндө эч нерсе айтпайт, ал эми жолдогу HTTP прокси аны ташуунун ордуна кадрлоону бузат.
Брандмауэрге тийүүдөн мурун алдын ала текшерүү
Стандарт TCPни UDP жолун таштаган тармактар үчүн камдык вариант катары коёт, анын ордун басуучу катары эмес. Ар бир жеткирүүчүдөн эки факт алыңыз: мүмкүнчүлүктүн так аталышы жана менчик варианттын ордуна RFC 9329ду ишке ашырган версия. IPsec over TCP сыяктуу белгилер байланышсыз долбоорлор үчүн колдонулган, ошондуктан документ шилтемесин жана аны күйгүзгөн конфигурация ачкычын сураңыз. Эки жоопсуз зым шайкештиги жөнүндө эч нерсе божомолдобоңуз.
Муну эки тарабы тең сиздики болгон лабораторияда далилдеңиз. TCP 4500гө жооп берген, бирок IKEни эч качан бүтүрбөгөн шлюз экинчи тарапта шайкеш инкапсуляциясыз угуучунун белгиси, жана аны ошол жерден табуу өзгөртүү терезесинде табууга караганда алда канча арзан.
Жооп берүүчү тарапта: бир нерсе угуп жатабы
Сокеттен баштаңыз. ss -ltnp | grep 4500 TCP угуучусу барбы жана аны кайсы процесс ээлеп турат экенин көрсөтөт. Саптын жоктугу иликтөөнү тармакта эмес, шлюз конфигурациясында бүтүрөт.
Эгер сокет бар болсо, кардар тарабынан божомолдоонун ордуна кол алышууну байкаңыз: tcpdump -ni any 'tcp port 4500'. Бүткөн үч тараптуу кол алышуудан кийинки унчукпоо агым кабыл алынгандыгын жана ичиндеги IKE алмашуусу ийгиликсиз болгонун билдирет, ал эми жоопсуз SYN фильтрлөөгө же туура эмес дарекке көрсөтөт.
Экөөнү чаташтырбоо үчүн ошол эле жазуу терезесинде UDP жолу менен салыштырыңыз: tcpdump -ni any 'udp port 4500 or proto 50'. TCP колдонулуп жатат деп ойлогондо 50 протоколунда же UDP 4500 портунда трафик болушу эки тарап камдык вариант боюнча эч качан макулдашпаганын билдирет. Мүмкүн болсо шлюзда да жазыңыз, анткени кардар тарабындагы жазуу алыскы тарап эмне жөнөткөнүн көрсөтө албайт.
Төрт өзүнчө баскычта кабыл алыңыз
Көтөрүлүүнү төрт натыйжа катары караңыз. Ар бири башка себептен ийгиликсиз болушу мүмкүн, жана бир гана өтүү же ийгиликсиздик кайсынысы болгонун жашырат, ошондуктан ийгиликсиз болгон биринчи баскычта токтоп, жогорудан кайра баштаңыз.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Төртүнчү баскыч өткөрүп жиберилүүчү баскыч. Бар сессия кэштелген абалда иштей берүүсү мүмкүн, ошондуктан өзгөртүүнү жаппас мурун шлюздин артындагы хостко жаңы байланыш ачыңыз. Экинчи баскыч ийгиликсиз болуп, биринчиси өтсө, келишпестик сунушта же инкапсуляция жөндөөсүндө, брандмауэрде эмес.
Кайтаруу жана аны күйүк туруунун баасы
Өзгөртүүдөн мурун жокко чыгарууну пландаңыз: инкапсуляция опциясын эки тарапта өчүрүп, туннелдин UDP аркылуу кайтканын ырастаңыз. Камдык вариант кайра керек болсо, TCP эрежесин бир кароо циклине калтырып, анан алып салыңыз. 4500дөгү колдонулбаган угуучу операциялык баалуулугу жок бети.
Реалдуу иш ташый баштаганда аткаруу белгисине көңүл буруңуз. TCP ичиндеги TCP бир жоготууда токтоп калган ырастоо катмарларын кошот, ал эми бир байланышты бөлүшкөн агындар бири-бирин бөгөттөшү мүмкүн, ошондуктан ping эмес, туннелди колдоно турган колдонмону өлчөңүз.
Кабыл алуу тизмеси
Эки тарапта мүмкүнчүлүктүн аталышын жана версиясын, жооп берүүчүдөгү угуучуну, бүткөн кол алышууну көрсөткөн жазууну жана убакыт белгилери менен жазылган төрт баскычты ырастаңыз. Кийинки инженер TCP эмне үчүн бар экенин билиши үчүн өзгөртүү жазуусуна камдык варианттын себебин кошуңуз. Керек болоордон мурун кайтарууну машыгыңыз.
Кандайдыр бир баскыч ийгиликсиз болсо, ошол баскычты гана оңдоңуз. Транспорт көйгөйүнөн улам шифрлер топтомун же инсандык жөндөөлөрүн өзгөртүү адатта биринчисинин үстүнө экинчи, байланышсыз ийгиликсиздикти кошот.