Firwat L2TP/IPsec UDP 1701 nieft IPsec brauch

Firewalls, déi IKE an ESP erlaben, awer net UDP 1701, briechen L2TP-Verbindungen op eng Manéier, déi wéi e Problem mat den Umeldungsdaten ausgesäit. De Grond ass, dass L2TP en zweete Protokoll ass, deen am éischten dobannen reest. IPsec dréit an authentifizéiert den Austausch, an L2TP bedreift säin eegenen Tunnel iwwer UDP 1701, deen de lokale Stack nach ëmmer muss liwweren. Ze wëssen, wou all Header erschéngt, erkläert, ween Apparat wéi eng Regel brauch.

Zwee Protokollen, zwee Portsätz

Eng L2TP/IPsec-Verbindung benotzt IKE op UDP 500, NAT-Duerchgang op UDP 4500 wou eng Iwwersetzung ass, an ESP als IP-Protokoll 50 wou keng ass. L2TP selwer ass en Tunnelprotokoll op UDP 1701, an et leeft nodeems IPsec de Partner authentifizéiert huet. Déi zwou Hälften versoen ënnerschiddlech, an d'Loglinnen, déi driwwer beriichten, kommen aus verschiddenen Deeler. E Regelsatz, deen nëmmen déi éischt Halschent deckt, produzéiert eng Verbindung, déi verhandelt an duerno an der Tunnelsphase stierft.

Portnummeren beschreiwen Transportendpunkten, an ESP ass guer kee Port. Dofir kann eng Firewall-Interface, déi nëmme TCP- an UDP-Regele bitt, keng vollstänneg IPsec-Politik ausdrécken. Protokoll 50 muss als Protokoll erlaabt ginn, an eng Regel, déi nëmmen UDP ernimmt, wäert ni mat him entspriechen.

D'Hülle erkläert de Port

Op der Leitung weist eng L2TP/IPsec-Verbindung normalerweis IKE op 500 an encapsuléierten ESP op 4500. Den UDP 1701-Header sëtzt bannen an der geschützter Notzlaascht, dofir weist en Ophuel op der baussenzeger Interface en net. De lokale Host muss deen Datagramm nach ëmmer un den L2TP-Daemon liwweren, an d'Liwwe geschitt no der Decapsulatioun. Dofir gehéiert d'Regel fir 1701 op d'Firewall vum Endpunkt selwer, och wann eng Mëttelbox de Port ni gesäit.

D'Reiefolleg vun der Veraarbechtung erkläert de gréissten Deel vun der Duercherneen. Wann de Stack d'IPsec-Politik virum Hostfilter uwent, gëtt de decapsuléierte L2TP-Paket als UDP 1701 ugepasst; wann d'Reiefolleg emgedréit ass, sinn et déi baussenzeg Ports, déi de Regelsatz gesäit. Béid Verhalen gëtt et an der Praxis, dofir schéngt de selwechte Regelsatz op enger Plattform ze funktionéieren an op enger anerer ze versoen.

Kontrolléiert de Wee an der Reiefolleg

Hueft als éischt d'baussenzeg Interface op a bestätegt, dass IKE an encapsuléierten ESP sech a béid Richtunge beweegen. Kontrolléiert duerno d'Comptëren vun der lokaler Firewall fir den decapsuléierten Trafic. D'Reiefolleg ass wichteg, well en Ophuel, deen guer näischt weist, heescht, dass de Problem iwwer dem Host läit.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Den Ophuel bestätegt déi éischt Halschent vum Austausch a weist, ob de Partner äntwert. D'Regellëscht weist, ob et eng Regel fir 1701 gëtt a wou se par Rapport zu enger Verwerfungspolitik steet. D'Socketlëscht bestätegt, dass den L2TP-Daemon gebonnen ass an nolauschtert, wat en Déngscht ausschléisst, deen ni gestart gouf. Liest all dräi ier Dir eng Regel ännert, well en fehlende Nolauschterer an e gefilterte Port déiselwecht Plainte vum Benotzer produzéieren.

Wat e Portscan net weise kann

En externen Scan vun UDP 1701 géint e korrekt konfiguréierte Server mellt normalerweis näischt, an dat ass dat erwaart Resultat. De Port ass net mam Internet ausgesat; en ass nëmmen erreechbar, nodeems IPsec de Partner authentifizéiert huet. Dat zouenen Resultat als Feeler ze behandelen, féiert dozou, e Port opzemaachen, deen zou misst bleiwen. De Scan kann net an den Tunnel gesinn, sou wéineg wéi en den Trafic vun der Applikatioun ka gesinn.

Testt amplaz mat engem richtegen Client, an liest, bis wéi eng Etapp en kënnt. Wann d'Verbindung verhandelt an dann hänke bleift, sinn den L2TP-Daemon oder de lokale Filter verdächteg; wann se ni verhandelt, sinn et déi baussenzeg Ports. Dee eenzege Spléck hëlt de gréissten Deel vum Raien ewech, wéi eng Regel soll bäigefüügt ginn, an d'Protokollschichtung mécht et viraussoenbar amplaz mysteriéis.