47 протоколу жана TCP 47 порту: эки аталыш, эки эреже

Мейманкана тармактары жана конференция брандмауэрлери көбүнчө атайын уруксат талаасын көрсөтөт, жана бирөө PPTP иштейт деп үмүттөнүп, ага 47 жазат. Эреже түзүлөт, туннель дагы эле иштебейт, ал эми кийинки аракет башка номерди колдонот. Ката пакеттин өзүндө: IPv4тө IP аталышынан кийин эмне келерин атай турган протокол талаасы бар, ал эми TCP жана UDPде порт талаалары бар, алар ошол аталыштардын биринин ичинде болгондо гана болот. Бул бир уруксаттын эки жазылышы эмес.

IPv4 аталышы кийинки протоколду атайт

Протокол талаасы IPv4 аталышында бир байт, жана ал пайдалуу жүктү сүрөттөгөн санды кармайт: TCP үчүн 6, UDP үчүн 17, GRE үчүн 47, ESP үчүн 50. Пакеттерди чыпкалагандын баары тереңирээк караардан мурун ошол маанини окуйт, анткени терең аталыш түрү белгилүү болгондон кийин гана маанилүү. Сүйлөшүүнүн кийинки бөлүгүндө портту өзгөрт, ал эми бул талаа ордунан козголгон жок.

Ошондуктан 47 протоколуна каршы жазылган эреже IP катмарын сүрөттөйт. Чечимге эч кандай порт катышпайт.

Порттор TCP жана UDP ичинде болот, башка жерде жок

Порттор TCP жана UDP аталыштарынын ичиндеги он алты биттик идентификаторлор, жана алардын милдети бир даректи бөлүшкөн сүйлөшүүлөрдү ажыратуу. GRE аталышы протокол түрүнүн маанисин, көбүнчө EtherType, кошо мультиплекстөө үчүн кошумча ачкычтарды алып жүрөт. Ошондуктан порт 47 деген сөз айкашы GRE пакети дал келе турган эч нерсени атабайт.

Брандмауэр интерфейстери мунун канчасын көрсөтүү менен айырмаланат. Кээ бирлери протокол номерин кабыл алат, кээ бирлери аталган тизмени сунуштайт, ал эми аздары гана порттору бар TCP же UDP кабыл алат.

PPTP эки катмарды тең колдонот

PPTP эң айкын мисал, анткени ал ишин эки катмарга атайылап бөлөт. Көзөмөл байланышы 1723 портуна TCP сессиясы, ал эми маалымат жолу GRE, 47 протоколу, эч жерде порт катышпайт. 1723гө уруксат берип, башка эч нерсеге уруксат бербеген брандмауэр сүйлөшүүлөрдү баштоого жол берет да, жүктү таштап кетет. Туннель туташууда ийгиликсиз болуунун ордуна аутентификациядан кийин илинип калгандай көрүнөт, ошондуктан симптом көбүнчө сырсөз маселеси катары билдирилет.

Эрежени жазганда эки сапты өз-өзүнчө оку, жана ар бирин өндүрүүчүнүн синтаксиси менен салыштыр. Бир сапка порт керек, экинчисине протокол номери керек, жана бир да жазуу экөөнү тең камтыбайт.

Эмне үчүн портту багыттоо барагы GREни туюнта албайт

Тек TCP жана UDP кабыл алган багыттоо формасы GREни сүрөттөй албайт, форма кандай аталбасын. Дарек которуу экинчи кыйынчылыкты кошот, анткени GREде порттор жок жана которуучу анын ордуна чакыруу идентификаторун ээрчиши керек. Кээ бир үй маршрутизаторлору муну чечкен жардамчы менен келет; көпчүлүгү келбейт, жана эч кандай кошумча TCP уруксат жазуусу бул жүрүм-турумду жаратпайт.

Эгер чыныгы талап заманбап туннель болсо, которуучу туура табат деп үмүттөнүүнүн ордуна TCP же UDPни атайылап колдонгон долбоорду танда.

Инкапсуляция чыпканын эмнени көрөрүн аныктайт

Инкапсуляция тышкы пакетти өзгөртөт, ал эми эреже дал тышкы пакет менен дал келет. Табигый ESP — 50 протоколу, ал эми NAT аркылуу өтүү ESPни UDP 4500 ичине ороп, аны дарек которуудан аман алып калат. UDP 4500гө уруксат берген чыпка 50 протоколун эч качан көрбөйт, ал эми 50 протоколуна жазылган чыпка оролгон форма менен эч качан дал келбейт.

Кардар менен шлюз кайсы инкапсуляцияга макул болушканын сура, анан эрежени дал ошол тышкы формага жаз, андан ашык эмес.

Эрежени бирөө текшере ала тургандай жаз

Ар бир эрежени дарек үй-бүлөсү, тышкы протокол, бар болсо транспорт порттору, багыт жана эки четки чекит катары туюнт. Сынчы ошол сүйлөмдү пакет жазуусу менен салыштырып, өкүмгө келе алат. 47ни ачуу жөнүндө нускаманы эч ким текшере албайт, ошондуктан ал процедуралар китептеринде жылдар бою калат.

Муну далилдеген сыноону кош: тышкы интерфейсте жазуу учурунда туташ, жана изде чындыгында көрүнгөн тышкы протокол менен портту ыраста.