Эмне үчүн L2TP/IPsec IPsecтен тышкары UDP 1701ге муктаж

IKE менен ESPге уруксат берип, UDP 1701ге уруксат бербеген дубал-оттор L2TP байланыштарын эсептик маалыматтардын көйгөйүнө окшош көрүнгөн жол менен бузат. Себеби L2TP биринчинин ичинде жүргөн экинчи протокол. IPsec алмашууну ташыйт жана ырастайт, ал эми L2TP UDP 1701дин үстүндө өз туннелин жүргүзөт, аны жергиликтүү стек дагы эле жеткирүүгө тийиш. Ар бир аталыштын кайда пайда болорун билүү кайсы түзмөккө кайсы эреже керек экенин түшүндүрөт.

Эки протокол, эки порт топтому

L2TP/IPsec байланышы UDP 500дө IKE, котормо бар жерде UDP 4500дө NAT өтүүсүн жана жок жерде IP протоколу 50 катары ESP колдонот. L2TP өзү UDP 1701деги туннель протоколу жана IPsec өнөктөштү ырастагандан кийин иштейт. Эки жарымы ар башкача ишке ашпайт, ал эми алар тууралуу кабарлаган журнал саптары ар башка компоненттерден келет. Бир гана биринчи жарымын камтыган эрежелер топтому сүйлөшүү жүргүзүп, анан туннель баскычында өлгөн байланышты жаратат.

Порт сандары ташуунун акыркы чекиттерин сүрөттөйт, ал эми ESP такыр порт эмес. Ошондуктан бир гана TCP жана UDP эрежелерин сунуш кылган дубал-от интерфейси толук IPsec саясатын билдире албайт. 50 протоколуна протокол катары уруксат берилиши керек, ал эми UDPни гана эске салган эреже ага эч качан туура келбейт.

Каптооч портту түшүндүрөт

Тармакта L2TP/IPsec байланышы адатта 500дө IKE жана 4500дө капталган ESP көрсөтөт. UDP 1701 аталышы корголгон жүктүн ичинде жайгашкан, ошондуктан тышкы интерфейстеги кармоо аны көрсөтпөйт. Жергиликтүү хост бул датаграмманы L2TP демонуна дагы эле жеткирүүгө тийиш, ал эми жеткирүү декапсуляциядан кийин болот. Ошондуктан 1701 эрежеси акыркы чекиттин өз дубал-отуна таандык, ал тургай эч бир ортодогу түзмөк портту эч качан көрбөсө да.

Иштетүү тартиби баш аламандыктын көп бөлүгүн түшүндүрөт. Эгер стек IPsec саясатын хост чыпкасынан мурун колдонсо, декапсуляцияланган L2TP пакети UDP 1701 катары дал келет; эгер тартип тескери болсо, эрежелер топтому тышкы портторду көрөт. Эки жүрүм-турум тең практикада кездешет, ошондуктан бирдей эрежелер топтому бир платформада иштеп, экинчисинде ишке ашпайт окшойт.

Жолду тартиби менен текшериңиз

Алгач тышкы интерфейсти кармап, IKE менен капталган ESP эки багытта тең кыймылдаарын ырастаңыз. Анан декапсуляцияланган трафик үчүн жергиликтүү дубал-оттун эсептегичтерин текшериңиз. Тартип маанилүү, анткени эч нерсе көрсөтпөгөн кармоо маселе хосттон жогору экенин билдирет.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Кармоо алмашуунун биринчи жарымын ырастайт жана өнөктөш жооп берип жатканын көрсөтөт. Эрежелер тизмеси 1701 эрежесинин бар-жогун жана кандайдыр бир таштоо саясатына карата кайда турганын көрсөтөт. Сокеттер тизмеси L2TP демонунун байланганын жана угуп жатканын ырастайт, бул эч качан башталбаган кызматты жокко чыгарат. Эрежени өзгөртүүдөн мурун үчөөнү тең окуңуз, анткени угуучунун жоктугу жана чыпкаланган порт колдонуучудан бирдей нааразылык жаратат.

Порт скандоо эмнени көрсөтө албайт

Туура конфигурацияланган серверге каршы UDP 1701ди тыштан скандоо адатта эч нерсе кабарлабайт, жана бул күтүлгөн жыйынтык. Порт интернетке ачылган эмес; ага IPsec өнөктөштү ырастагандан кийин гана жетүүгө болот. Жабык жыйынтыкты бузулуу деп кароо жабык калышы керек болгон портту ачууга алып келет. Скандоо туннелдин ичин көрө албайт, дал колдонмонун трафигин көрө албаганы сыяктуу.

Анын ордуна чыныгы кардар менен сынап көрүңүз жана ал кайсы баскычка жетээрин окуңуз. Эгер байланыш сүйлөшүү жүргүзүп, анан токтоп калса, шектүү — L2TP демону же жергиликтүү чыпка; эгер ал эч качан сүйлөшүү жүргүзбөсө, күнөөлүү — тышкы порттор. Ушул бир бөлүү кайсы эрежени кошуу керектиги тууралуу божомолдун көп бөлүгүн алып салат, ал эми протоколдордун катмарлануусу аны сырдуу эмес, болжолдуу кылат.