IKEv2 benotzt UDP 500 an 4500: wéien dréit d'Donnéeën?

Den éischten Austausch an de Wee, deen d'Donnéeën dréit, sinn net deeselwechte Flux. Kontrolléiert béid Porten a denkt drun, datt native ESP eng Protokollnummer ass, keen Port.

UDP 500 an der Firewall opmaachen erlaabt dem Tunnel ze verhandelen, an duerno hält d'Verbindung op, Verkéier duerchzeloossen. D'Portlëscht war onkomplett, net falsch. IKEv2 fänkt op engem Socket un a geet a ville reale Benotzungen op engem aneren weider, während d'Payload guer keen Port muss sinn. D'Phasen an der Rei liesen erkläert, wéi eng Regel feelt.

Zwéi Porten, zwou Aufgaben

IKEv2 fänkt mat engem Schlësselaustausch op UDP 500 un, wou d'Peeren sech authentifizéieren an eng Sécherheetsassociatioun fir den Tunnel opbauen. De Datenwee duerno ass eng aner Saach: et kann native ESP sinn, dat eng IP-Protokollnummer ass an keen Port, oder Verkéier, deen an UDP op 4500 agekapselt ass. Dës zwee an enger Firewall-Iwwerpréiwung auserneenzehalen ass den Ënnerscheed tëscht engem Tunnel, deen verhandelt, an engem Tunnel, deen funktionéiert. Een Socket dréit d'Kontroll, deen aneren d'Payload.

Dofir produzéiert eng Regel, déi nëmmen 500 erlaabt, dat verwierrendst Symptom an der ganzer Protokollfamill: d'Verhandlung geléngt an et kënnt näischt Nëtzleches duerno. Den Zoustand weist e Peer, de Log weist eng etabléiert IKE SA, an d'Applikatioun leeft nach ëmmer an en Timeout. Déi fehlend Autorisatioun gehéiert zu engem anere Flux wéi deem, deen grad geléngt huet.

Firwat 4500 iwwerhaapt existéiert

Vill NAT-Geräter kënnen keen anere Protokoll wéi TCP oder UDP weiderginn, an e puer schreiwen Adressen esou ëm, datt d'Integritéitspréifung vun ESP briecht. ESP an UDP ze kapselen léist béid Problemer, op Käschte vun engem zousätzlechen Header an engem zweeten Port, dee missen erlaabt gëtt. Genee dës Kapselung ass de Grond, firwat den zweeten Port iwwerhaapt existéiert.

Soubal NAT erkannt gëtt, wiesselt IKE selwer op 4500, sou datt de ganze Verkéier ee Wee duerch den Iwwersetzer deelt. E Marker vun véier Byte, deen net ESP ass, ënnerscheet Kontrollmessagen vun Daten op deem Socket. De Wiessel ass eng Protokollentscheedung, keng Preferenz vum Administrateur.

Wou de Quellport sech ännert

En Iwwersetzer kann de Quellport vum Client ëmschreiwen, sou datt den Tuple um Server net mam Tuple um Client iwwereneestëmmt. Kuckt op béid Säiten vun all NAT-Hop, ier Dir schléisst, datt eng Regel ignoréiert gëtt. Fehlersich just um Client kann eng Regel erginn, déi richteg ausgesäit an awer feelt.

MOBIKE-fäeg Implementéierunge kënnen och ouni erkannt NAT op 4500 wiesselen, an e puer Benotzungen erzwéngen dee Wee bewosst. 4500 ze gesinn ass dofir e Beweis fir eng Entscheedung, net e Beweis fir en Heemrouter.

Kontrolléiert béid Flëss op all Grenz

Gitt duerch déi dräi Grenzen: d'Clientnetz, all tëschentlecht Firewall an de Server. Jiddweree brauch d'Flëss, déi d'Benotzung dokumentéiert, net d'Flëss aus engem Artikel iwwer en anere Fall.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

D'ESP-Linn an enger Firewall-Lëscht ass eng Protokollübereestëmmung, dofir deckt eng Portregel se ni of. Wann den Bedreiwer en eegene Port benotzt, befollegt déi dokumentéiert Konfiguratioun op béide Säiten, well e Client keen Nolauschterer um Server ka schafen, andeem hien eng vertraut Nummer wielt.

Notéiert, wou d'Verhandlung gestoppt huet a ob eng Kanner-Sécherheetsassociatioun installéiert gouf, well dës Pair eng blockéiert Streck vun engem Authentifikatiouns- oder Politikfehler trennt. Widderholl duerno den Test mat ageschaltener Serververifikatioun, well Erreechbarkeet keng Authentifikatioun ass. Dee leschte Schrëtt trennt en erlaabten Port vun engem vertraute Peer.

Ähnlech Artikelen