IKEv2 UDP 500 жана 4500 портторун колдонот: кайсынысы маалыматты ташыйт?

Firewall'до UDP 500 ачуу туннелге сүйлөшүү жүргүзүүгө мүмкүндүк берет, андан кийин байланыш трафикти өткөрүүнү токтотот. Порттордун тизмеси толук эмес болчу, туура эмес эмес. IKEv2 бир сокетте башталып, көптөгөн реалдуу орнотууларда экинчисинде уланат, ал эми пайдалуу жүк таптакыр порт болбошу мүмкүн. Этаптарды тартиби менен окуу кайсы эреже жок экенин түшүндүрөт.

Эки порт, эки милдет

IKEv2 UDP 500 боюнча ачкыч алмашуудан башталат, ал жерде тараптар бирин-бирин аутентификациялап, туннель үчүн коопсуздук ассоциациясын түзөт. Кийинки маалымат жолу өзүнчө маселе: ал порт эмес, IP протокол номери болгон жатык ESP болушу мүмкүн, же 4500 боюнча UDP ичине капталган трафик. Муну firewall кароодо бөлүп кармоо — сүйлөшүү жүргүзгөн туннель менен иштеген туннелдин айырмасы. Бир сокет башкарууну, экинчиси жүктү ташыйт.

Ошондуктан 500гө гана уруксат берген эреже бүтүндөй протокол үй-бүлөсүндөгү эң баш аламан белгини жаратат: сүйлөшүү ийгиликтүү болот, бирок пайдалуу эч нерсе болбойт. Абал тең шерикти көрсөтөт, журнал орнотулган IKE SA көрсөтөт, ал эми колдонмо дагы эле убакыттан өтөт. Жетишпеген уруксат дал азыр ийгиликтүү болгон агымдан башка агымга таандык.

4500 эмне үчүн бар

Көптөгөн NAT түзмөктөрү TCP же UDPден башка протоколду өткөрө албайт, кээ бирлери дарегилерди ESPнин бүтүндүк текшерүүсүн буза тургандай кылып кайра жазышат. ESPни UDP ичине каптоо эки маселени тең чечет, бирок кошумча аталыш жана уруксат берилиши керек болгон экинчи порт эсебинен. Дал ошол каптоо экинчи порттун болушунун себеби.

NAT аныкталгандан кийин IKE өзү да 4500гө өтөт, бардык трафик которуучу аркылуу бир жолду бөлүшү үчүн. ESP эмес төрт байттык белги ошол сокеттеги башкаруу билдирүүлөрүн маалыматтан ажыратат. Бул өтүү протокол чечими, администратордун тандоосу эмес.

Баштапкы порт кайда өзгөрөт

Которуучу кардардын баштапкы портун кайра жазышы мүмкүн, ошондуктан серверде көрүнгөн tuple кардардагы tuple менен дал келбейт. Эреже этибарга алынбайт деген тыянакка келүүдөн мурун ар бир NAT секирүүсүнүн эки тарабына караңыз. Тек кардарда гана көйгөй издөө туура көрүнгөн, бирок баары бир иштебеген эреже бере алат.

MOBIKE колдогон ишке ашыруулар NAT аныкталбаса да 4500гө өтө алышат, ал эми кээ бир орнотуулар бул жолду атайын мажбурлашат. Ошондуктан 4500дү көрүү чечимдин далили, үй маршрутизаторунун далили эмес.

Ар бир чек арада эки агымды тең текшериңиз

Үч чек арадан өтүңүз: кардар тармагы, кандайдыр бир ортоңку firewall жана сервер. Ар бирине орнотуу документтештирген агымдар керек, башка учур тууралуу макаладагы агымдар эмес.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Firewall тизмесиндеги ESP сабы протокол дал келүүсү, ошондуктан порт эрежеси аны эч качан камтый албайт. Эгер оператор ылайыкташтырылган портту колдонсо, эки учунда документтештирилген конфигурацияны карманыңыз, анткени кардар тааныш номерди тандоо менен серверде угуучу түзө албайт.

Сүйлөшүү кайда токтогонун жана бала коопсуздук ассоциациясы орнотулганын жазып алыңыз, анткени бул жуп тоскоол болгон жолду аутентификация же саясат катасынан ажыратат. Андан кийин сервер текшерүүсүн күйгүзүп сыноону кайталаңыз, анткени жетүү мүмкүнчүлүгү аутентификация эмес. Ошол акыркы кадам уруксат берилген портту ишенимдүү шериктен ажыратат.