Firwat IKEv2 op Android op engem net-standard UDP-Port feelt

En natives IKEv2-Formulaire hëlt eng Adress, keen Port. Kontrolléiert, datt de Client dat ënnerstëtzt, setzt béid Server-Porten, a kuckt da op d'Framing an d'Logbicher.

D'Gateway äntwert aus engem Grond op IKEv2 op UDP 4443, de Profil huet e Feld mam Numm Server, Dir tippt den Hostnumm an de Port an, an den Telefon mellt, datt en de Server net erreeche kann oder d'Adress net opléise kann. Näischt gëtt blockéiert. Den natives Android-Formulaire erwaart en Host, an dat selwecht gëllt op Windows. En eegene Port ass eng Client-Fäegkeet, ier en eng Server-Astellung ass, a just e puer Clienten loossen Iech en ausdrécken. Gitt déi dräi Deeler an der Rei duerch: wat de Client ka soen, op wat de Server lauschtert, an ob béid Säiten d'Paketter op déiselwecht Manéier framen.

Wat den Telefon tatsächlech geschéckt huet

En Host:Port-String an engem Feld, dat fir en Numm geduecht ass, gëtt als Numm opgeléist. Den Opléiser gëtt näischt zréck fir vpn.example.net:4443, an de Feeler, deen Dir gesitt, ass en Numm-Opléisungs- oder Erreechbarkeetsfeeler an net en Zäitofbroch op engem Port. Dee Ënnerscheed ass wichteg, well en neien Versuch mat engem kierzere Numm oder engem aneren Netz ni e String reparéiere wäert, deen de Formulaire net parsen kann.

Den nativen IKEv2-Profil op Android ass wéi de agebaute Windows VPN-Client op déi Standard-IKE-Porten fixéiert. Keen vun deenen zwee weist e Portfeld, an keng Profilännerung füügt engem derbäi. Wann de Lauschterer vum Bedreiwer wierklech op 4443 ass, ass den agebaute Client dat falscht Instrument an net e falsch konfiguréiert.

Benotzt e Client, deen de Port weist

Den strongSwan-Client fir Android dokumentéiert en konfiguréierbare Serverport an den erweiderten Profil-Astellungen, dofir daucht en an bal all funktionéierendem Rezept fir dësen Design op. Dee Support gehéiert zu deem Client: eng aner IKEv2-App oder e Fournisseur-Fork vun der selwechter App weist dat selwecht Feld vläicht net, obwuel den ënnerlëschte strongSwan-Daemon en ënnerstëtzt.

Frot de Bedreiwer no dem ganze Set op eng Kéier: Gateway-Numm, UDP-Port, Authentifikatiounsmethod an d'Serveridentitéit, déi de Client erwaarde muss. En eegene Port ass kee Grond, d'Zertifikatspréiwung auszeschalten oder Protokoller ze wiesselen. Gitt de Port do an, wou den installéierte Client en erwaart, a wann dee Client sou e Feld net huet, ass d'Äntwert en aneren zougeloossene Client an net en gerodeenen Ëmwee.

De Server huet zwee Porten, a béid mussen iwwereneestëmmen

IKE fänkt op UDP 500 un, an den NAT-Duerchgang verréckelt IKE an agkapselt ESP meeschtens op UDP 4500. Dat sinn getrennte Astellungen am strongSwan, also muss e Server, deen op een eenzegen eegene Port verréckelt gouf, béid op deeselwechte Wäert änneren:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Mat engem Port fir béid Rollen muss den Daemon IKE vun ESP-an-UDP op demselwe Socket ënnerscheeden, wat en iwwer de véier-Byte-Marker mécht, deen keen ESP ass an enger IKE-Noriicht virugoes. Dofir kann e Client net um eegene Port verhandelen an dann stillech op 4500 virufueren, an dofir verstoppt de Saz „änner just de Port“ eng Ufuerderung un d'Framing.

Eng Viruleedung ass keen Lauschterer

D'Viruleedung vun 4443 op en normale Lauschterer vu IKE ass dee Feelermodus, deen bal erfollegräich ausgesäit. Den éischten Austausch kënnt un, de Server äntwert, an duerno stockt d'Verbindung oder schlësselt an näischt nei, well d'Äntwert vun engem aneren Port fortgeet an de spéideren agkapselten Trafick ni zum Zoustand passt, deen déi zwou Säiten opgebaut hunn. Eng Regel, déi den Zilport ëmschreift, ouni de Lauschterer ze verréckelen, erzielt genau dëst hallef oppent Resultat.

De Wee muss och UDP vun Enn bis Enn erlaben. Datt TCP 443 duerch en Hotel- oder Bedreiwer-Netz kënnt, seet näischt iwwer IKEv2 op engem UDP-Port, och net mat der selwechter Nummer. Do wou just TCP 443 erlaabt ass, mécht en eegene UDP-Port aus IKEv2 keen HTTPS, an déi richteg Äntwert kann en aneren Zougangswee sinn amplaz nach engem Portexperiment.

Trennt déi dräi Etappen beim Testen

Huelt um Server op, wärend de Client eng Kéier probéiert. Eng Ufro, déi ni ukënnt, ass eng Fro vum Endpunkt oder der Firewall; eng Ufro, déi ouni Äntwert ukënnt, ass eng Fro vum Lauschterer oder der Politik; eng Äntwert, op déi Stille folgt, ass d'Fro vum Framing oder der Identitéit.

tcpdump -ni eth0 -vv udp port 4443

Liest duerno d'Noriicht vum Client amplaz säin dréienden Indikator. E Propos-Feeler heescht, datt d'Algorithmen net iwwereneestëmmen, en Authentifikatiounsfeeler heescht, datt Identitéiten oder Zertifikater net iwwereneestëmmen, an widderholl Neisendungen ouni Äntwert heeschen, datt näischt op deem Port äntwert. Testt eng Etapp op eng Kéier an ännert ee Feld tëscht de Versich; d'strongSwan-Dokumentatioun iwwer den NAT-Duerchgang beschreift de Marker an d'Portverhalen, dat d'Opnam Iech weist.

Ähnlech Artikelen