IKE iwwer TCP 4500: béid Enden iwwerpréiwen, ier d'Port-Regel kënnt
TCP-Kapselung gëtt vun béiden Enden ausgehandelt, net vun enger Firewall-Regel ginn. Féiert d'Listener-Préifung, de Mitschnëtt an déi véier Akzeptanzstufe der Rei no aus.
Support-Tickete kommen dacks u wann d'Firewall-Ännerung schonn approuvéiert ass an den Tunnel nach ëmmer refuséiert erauszekommen. Dat ass dat erwaart Resultat wann nëmmen een Enn d'Funktioun huet: d'TCP-Kapselung no RFC 9329 muss op béiden Enden implementéiert a konfiguréiert ginn, an d'Ofkommes geschitt bannent der Verbindung ier geschützte Verkéier sech ka bewegen. Eng Port opzemaachen annoncéiert e Listener deen et vläicht net gëtt, an e Listener ouni déi passend Konfiguratioun op der anerer Säit hëlt eng Verbindung un an da schweigt. D'Reiefolleg hei drënner setzt déi bëlleg Prüfungen vir.
Wësst wat d'Optioun tatsächlech derbäi setzt
Native IPsec transportéiert verschlësselt Notzlaaschten als IP-Protokoll 50, ouni Portnummer déi misst erlaabt ginn. NAT-Traversal packt déi Paketen an UDP op de Port 4500, a dofir ernimmen sou vill Firewall-Regelen dee Port. RFC 9329 setzt eng Stroumduerstellung derbäi: IKE- an IPsec-Pakete reesen béid bannent enger TCP-Verbindung, normalerweis op de Port 4500.
De Stroum ass keen Webservice. Eng TCP-Verbindung op 4500 seet näischt iwwer HTTP, TLS oder Proxy-Frëndlechkeet, an en HTTP-Proxy am Wee wäert normalerweis d'Kadéierung briechen amplaz se ze droen.
Virpréifung ier Dir d'Firewall upackt
Den Standard setzt TCP als Réckfall fir Netzwierker déi de UDP-Wee fale loossen, net als Ersatz dofir. Huelt zwee Fakten bei all Fournisseur: den exakten Numm vun der Funktioun an d'Versioun déi RFC 9329 ëmsetzt an net eng proprietär Variant. Etikette wéi IPsec over TCP goufen fir onverbonnen Designe benotzt, dofir freet no der Dokumentreferenz an dem Konfiguratiounsschlëssel deen se uschalt. Ouni béid Äntwerten, hutt näischt iwwer d'Drotkompatibilitéit ugeholl.
Beweist et an engem Labo wou béid Enden Är sinn. En Gateway deen op TCP 4500 äntwert awer IKE ni fäerdeg mécht ass d'Signature vun engem Listener ouni déi passend Kapselung op der anerer Säit, an et ass vill méi bëlleg dat do z'entdecken wéi während engem Ännerungsfenster.
Op der Responder-Säit: lauschtert eppes
Fänkt mam Socket un. ss -ltnp | grep 4500 weist ob et en TCP-Listener gëtt a wéi ee Prozess en huet. D'Feele vun enger Linn entscheet d'Enquête bei der Gateway-Konfiguratioun an net um Netz.
Wann de Socket do ass, beobacht de Handshake amplaz vun der Client-Säit ze roden: tcpdump -ni any 'tcp port 4500'. En ofgeschlossenen Dräi-Wee-Handshake gefolgt vu Stille bedeit datt de Stroum ugeholl gouf an den IKE-Austausch doranner gescheitert ass, wärend en SYN ouni Äntwert op Filterung oder op déi falsch Adress weist.
Vergläicht mat dem UDP-Wee am selwechte Mitschnëttsfenster sou datt déi zwee net verwiesselt ginn: tcpdump -ni any 'udp port 4500 or proto 50'. Verkéier op Protokoll 50 oder UDP-Port 4500 wärend Dir mengt TCP wier am Gebrauch bedeit datt d'Enden sech ni iwwer de Réckfall eens goufen. Maacht och um Gateway e Mitschnëtt wann Dir kënnt, well e Mitschnëtt op der Client-Säit kann net weisen wat dat wäit Enn geschéckt huet.
Akzeptéiert a véier getrennte Stufen
Behandelt den Opbau als véier Resultater. Jiddwereen kann aus engem anere Grond scheiteren, an en eenzelt Bestoen oder Scheiteren verstoppt wéien et war, dofir stoppt op der éischter Stuf déi scheitert a fänkt vun uewen nei un.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Déi véiert Stuf ass déi déi iwwerspronge gëtt. Eng bestoend Sessioun kann op gecachtem Zoustand weiderlafen, dofir maacht eng nei Verbindung op en Host hannert dem Gateway op ier Dir d'Ännerung zoumaacht. Wann déi zweet Stuf scheitert wärend déi éischt besteet, läit den Desaccord am Virschlag oder an der Kapselungsastellung, net an der Firewall.
Réckroll, an de Käschte vun et un ze loossen
Plangt d'Récknam virun der Ännerung: schalt d'Kapselungsoptioun op béiden Enden aus a bestätegt datt den Tunnel iwwer UDP zréckkënnt. Hält d'TCP-Regel ee Iwwerpréiwungszyklus laang fir de Fall datt de Réckfall nach eng Kéier gebraucht gëtt, a läscht se duerno. En onbenotzte Listener op 4500 ass Uewerfläch ouni operationelle Wäert.
Kuckt op d'Performance-Signatur soubal et richteg Aarbecht dréit. TCP an TCP setzt Bestätegungsschichten derbäi déi bei engem eenzegen Verloscht stocken, an Stroum déi eng Verbindung deelen kënnen sech géigesäiteg blockéieren, dofir messt d'Applikatioun déi den Tunnel wäert benotzen amplaz e Ping.
Akzeptanzlëscht
Bestätegt den Numm an d'Versioun vun der Funktioun op béiden Enden, de Listener op der Responder-Säit, de Mitschnëtt deen en ofgeschlossenen Handshake weist, an déi véier Stufen mat Zäitstempel festgehalen. Setzt de Grond vum Réckfall an den Ännerungsregistre derbäi sou datt den nächsten Ingenieur weess firwat TCP do ass. Übt d'Réckroll ier Dir se braucht.
Wann eng Stuf scheitert, reparéiert just déi Stuf. D'Cipher-Suite oder d'Identitéitsastellungen z'änneren fir e Transportproblem ze verfollegen setzt normalerweis en zweeten, onverbonne Fehler op den éischten derbäi.