Protokoll 47 géint TCP-Port 47: zwee Header, zwee Regelen
Eng Protokollnummer an e Port liewen an ënnerschiddlechen Headeren, dofir kann eng Regel déi aner net ersetzen. PPTP trennt déi zwee, an e Portfeld kann GRE net ausdrécken.
Hotelsnetzwierker a Konferenzfirewallen weisen dacks eng eege Erlaabneskëscht, an et gëtt een 47 dran an, an der Hoffnung datt PPTP wäert schaffen. D'Regel gëtt ugeluecht, den Tunnel schléit nach ëmmer feel, an den nächsten Versuch benotzt eng aner Nummer. De Feeler läit am Paket selwer: IPv4 huet e Protokollfeld, dat nennt wat nom IP-Header kënnt, wärend TCP an UDP Portfelder hunn, déi et eréischt gëtt, wann een an engem vun dësen Headeren ass. Et sinn net zwou Schreifweisen vun der selwechter Erlaabnes.
Den IPv4-Header nennt den nächste Protokoll
D'Protokollfeld ass ee Byte am IPv4-Header, an et hält eng Nummer, déi d'Notzlaascht beschreift: 6 fir TCP, 17 fir UDP, 47 fir GRE, 50 fir ESP. Alles wat Pakete filtert, liest dëse Wäert ier et méi déif kuckt, well den déiwe Header eréischt Sënn gëtt, wann den Typ bekannt ass. Ännert méi spéit am Gespréich e Port, an dëst Feld huet sech net geréckelt.
Eng Regel, déi géint Protokoll 47 geschriwwen ass, beschreift also d'IP-Schicht. Kee Port hëlt un der Entscheedung deel.
Porte gëtt et bannen an TCP an UDP, niergendwou soss
Porte si siechzéng-Bit-Identifikatoren bannen an TCP- an UDP-Headeren, an hir Aufgab ass et, Gespréicher ze trennen, déi eng Adress deelen. En GRE-Header dréit e Protokolltypwäert, dacks en EtherType, plus optional Schlësselen fir Multiplexing. Dofir nennt den Ausdrock Port 47 näischt, mat deem e GRE-Paket kéint iwwereneestëmmen.
Firewall-Interfaceë sinn ënnerschiddlech doran, wéi vill vun dësem se weisen. Verschidden akzeptéieren eng Protokollnummer, verschidden bidden eng benannt Lëscht, an e puer akzeptéieren nëmme TCP oder UDP mat Porten.
PPTP benotzt béid Schichte gläichzäiteg
PPTP ass dat kloerst Beispill, well et seng Aarbecht bewosst op déi zwou Schichten opdeelt. D'Kontrollverbindung ass eng TCP-Sessioun op Port 1723, an de Datewee ass GRE, Protokoll 47, ouni datt iergendwou e Port bedeelegt ass. Eng Firewall, déi 1723 erlaabt an soss näischt, léisst d'Verhandelung ufänken an verwërft duerno d'Notzlaascht. Den Tunnel schéngt nom Authentifizéierung ze hänken, amplaz datt en net verbënnt, an dofir gëtt de Symptom dacks als Passwuertproblem gemellt.
| Path | Outer protocol | Port |
|---|---|---|
| Control channel | TCP, protocol 6 | 1723 |
| Data channel | GRE, protocol 47 | None |
Liest déi zwou Zeilen getrennt, wann Dir d'Regel schreift, a kontrolléiert jiddwereng géint d'Syntax vum Hiersteller. Eng Zeil brauch e Port, déi aner brauch eng Protokollnummer, an keen eenzelen Asaz deckt béides of.
Firwat eng Portweiterleitungssäit GRE net kann ausdrécken
En Weiterleitungsformular, deen nëmme TCP an UDP akzeptéiert, kann GRE net beschreiwen, wéi de Formular och heescht. D'Adressiwwersetzung bäit eng zweet Schwieregkeet dobäi, well GRE keng Porten huet an den Iwwersetzer amplaz d'Uruffidentifikatioun muss verfollegen. Verschidden Hausrouter komme mat engem Hëllefsprogramm, deen dat bewältegt; vill net, an keen zousätzlechen TCP-Erlaabnesasaz wäert dëst Verhalen erschafen.
Wou en moderne Tunnel d'richteg Fuerderung ass, wielt en Design, deen TCP oder UDP bewosst benotzt, amplaz ze hoffen, datt en Iwwersetzer richteg rät.
D'Encapsulatioun entscheet, wat de Filter gesäit
D'Encapsulatioun ännert de baussenzege Paket, an de baussenzege Paket ass et, mat deem eng Regel iwwereneestëmmt. Native ESP ass Protokoll 50, wärend NAT-Traversal ESP bannen an UDP 4500 wéckelt, fir datt et d'Adressiwwersetzung iwwerlieft. En Filter, deen UDP 4500 erlaabt, gesäit ni Protokoll 50, an en Filter, dee fir Protokoll 50 geschriwwen ass, iwwereneestëmmt ni mat der agewéckelter Form.
Frot, op wéi enger Encapsulatioun de Client an de Gateway sech gëeenegt hunn, a schreift dann d'Regel fir genau déi baussenzeg Form an näischt méi.
Schreift d'Regel sou, datt een se kontrolléiere kann
Dréckt all Regel als Adressfamilie, baussenzege Protokoll, Transportporte wann et der gëtt, Richtung an déi béid Endpunkten aus. En Iwwerpréifer kann dee Saz mat enger Pakopnam vergläichen an zu engem Uerteel kommen. Eng Uweisung, 47 opzemaachen, kann een net kontrolléieren, an dofir iwwerlieft se Joerzengten an de Prozedurhandbicher.
Füügt de Test derbäi, dee beweist: verbënnt Iech, wärend Dir op der baussenzeger Schnëttstell opnam maacht, a bestätegt de baussenzege Protokoll an de Port, déi tatsächlech an der Spuer erschéngen.