ESP ass IP-Protokoll 50, net TCP-Port 50: wat een erlaabt
Protokollnummeren a Portnummeren sinn ënnerschiddlech Nummräim. Eng Regel fir den TCP-Port 50 erlaabt näischt, an NAT-Traversal verréckelt ESP op UDP 4500.
Firewall-Formulaire froen no engem TCP-Port, an den offensichtlechen Agab ass 50. Dës Agab erlaabt näischt, well ESP ass IP-Protokoll Nummer 50 an Protokollnummeren sinn keng Porten. Déi zwee Nummräim deele kleng ganz Zuelen an soss näischt, an de Feeler bleift onsichtbar bis IKE fäerdeg ass an de geschützten Traffic ni ukënnt.
Zwee Nummräim, déi kleng Zuelen deelen
En IP-Header dréit en Protokollfeld, dat nennt wat duerno kënnt: 6 fir TCP, 17 fir UDP, 1 fir ICMP, 50 fir ESP, 51 fir AH. En TCP- oder UDP-Header dréit Portnummeren, déi e Prozess um Zilhost auswielen. Protokoll 50 an TCP-Port 50 si Wäerter ouni Bezéiung, awer eng Dialogkëscht kann se auswiesselbar schéngen loossen.
Dofir kann eng Portweiderleitungsregel nativen ESP net ausdrécken. Et gëtt keen ESP-Zilport fir weiderzeleeden, an en Apparat deen nëmme Portregele versteet huet guer kee Vokabular fir dee Pak. Déi richteg Regel nennt amplaz den IP-Protokoll. All Portdialog ass dat falscht Instrument fir dee Pak.
D'Verwiesslung huet eng zweet Halschent. Wann de Pak verschlësselt ass, ass alles dobannen unduerchsiichteg, och den TCP-Header vun der origineller Verbindung. Eng Firewall déi Porten an deem Pak kontrolléiert kuckt op den äusseren Header, deen am nativen Fall keng Porten huet fir ze kontrolléieren.
Nativen ESP, dann déi encapsuléiert Alternativ
Nativen ESP gëtt direkt als IP-Protokoll gedroen, wat gläichermoossen effizient wéi onpraktesch ass. Effizient well et keen zousätzlechen Header gëtt, an onpraktesch well keen Apparat deen Adressen a Porten iwwersetzt en nogoe kann. NAT-Traversal gëtt et fir dat ze léisen, andeems en de ESP-Pak an UDP anwéckelt, sou datt den Iwwersetzer Porten huet fir ëmzeschreiwen.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Déi zwou Forme sinn alternativ Deploymente vum selwechte Datenkanal, net Schichte vun engem. Nativen ESP erlaben erlaabt net déi encapsuléiert Form, an UDP 4500 erlaben erlaabt net nativen Traffic, dofir muss e Regelsaz zum Deployment passen amplaz béides zoufälleg ofzedecken.
D'Erkennung ass hei och wichteg. D'Endpunkte entscheeden tëscht de Forme während der Verhandlung, an den Ëmschalt geschitt meeschtens wann en NAT tëscht hinne festgestallt gëtt. En Wee deen sech no dem Opbau vum Tunnel ännerft kann dofir den Traffic an en Nummraum verréckelen deen deng Regele ni ofgedeckt hunn.
Lies wéi eng Form d'Verbindung tatsächlech benotzt
Fro den Endpunkt amplaz vun der Firewall ze roden. Ënner Linux mellt den Zoustandsentrée ob d'Associatioun UDP-Encapsulatioun benotzt a wéi eng Porten dobäi sinn. Eng Pakopnam äntwert op déiselwecht Fro vum Kabel aus, an allebéid si méi séier wéi e Regelsaz ze liesen an ze hoffen.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Den éischte Kommando weist en Encapsulatiounstyp wann NAT-Traversal am Gebrauch ass an näischt wann net. Den zweeten weist wéi eng vun den zwou Formen tatsächlech d'Interface iwwerquiert, an dat entscheet Diskussiounen iwwer eng Konfiguratioun déi um Pabeier richteg ausgesäit.
Géigebeweist gehéiert an dee selwechte Schrëtt. Eng Regel déi null Treffer mellt seet dir datt de Pak se ni erreecht huet, an dat ass eng Fro vum Routing oder vum Selektor, net vun der Firewall.
Bestätegt duerno de Kontrollkanal getrennt. IKE huet seng eege Porten a seng eege Logbicher, an eng ofgeschlossen Verhandlung ouni Daten ass genau déi Trennung ëm déi et an dësem Artikel geet.
Schreif d'Regel am richtege Nummraum
Eng Protokollregel an eng Portregel sinn ënnerschiddlech Instruktiounen, dofir muss den Instrument déi ausdrécken déi s de mengs. An nftables ass d'Protokollmatche explizit, an déi encapsuléiert Alternativ kritt seng eegen UDP-Regel. Halt déi zwou Regele niewenteneen sou datt d'Puer bei der Iwwerpréiwung visibel ass.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptWiddersteh der Versuchung eng vun de Regele breet ze maachen fir eng falsch Diagnos auszegläichen. Alles erlaben fir de ESP-Protokoll op all Interface, oder eng UDP-Erlaabnes vun iwwerall op iwwerall, reparéiert e Symptom an hëlt d'Kontroll ewech déi s ageriicht wollts. De schmuele supportéierte Flux ass bal ëmmer genuch wann d'Form bekannt ass.
Zum Schluss, halt d'Schichte riicht wann den Tunnel funktionéiert an d'Applikatioun net. Paken déi um Gateway ukommen brauchen nach Weiderleedung, eng Retourroute an eng Politique déi se zouloosst, an näischt dovu gëtt duerch eng ESP-Regel ausgedréckt. De fehlende Port erkläert eng spezifesch Stéierung, net all IPsec-Stéierung. Halt d'Regelkorrektur an d'Routingkontroll als zwee getrennte Conclusiounen.
Schreif d'Form op déi s observéiert hues, d'Protokollregel déi s derbäi gesat hues an de Compteur deen s duerno gesinn hues. Dräi Zeilen, an déi nächst Persoun kann en Nummraumfeeler an enger Minutt vun engem Routingfeeler ënnerscheeden amplaz engem Nomëtteg.