IKE pār TCP 4500: pārbaudiet abus galus pirms porta noteikuma
TCP iekapsulēšanu vienojas abi puses, to nepiešķir ugunsmūra noteikums. Veiciet klausītāja pārbaudi, uztveršanu un četrus pieņemšanas posmus secīgi.
Atbalsta pieteikumi bieži nāk, kad ugunsmūra izmaiņas jau apstiprinātas un tunelis joprojām atsakās pacelties. Tas ir gaidāmais rezultāts, ja funkcija ir tikai vienā galā: TCP iekapsulēšana saskaņā ar RFC 9329 ir jāievieš un jākonfigurē abos galos, un vienošanās notiek savienojuma iekšienē, pirms kustas jebkurš aizsargātais trafiks. Porta atvēršana izsludina klausītāju, kura var arī nebūt, un klausītājs bez atbilstošas konfigurācijas otrā pusē pieņem savienojumu un pēc tam apklust. Zemāk esošā secība liek lētās pārbaudes priekšā.
Ziniet, ko opcija patiešām pievieno
Vietējais IPsec pārvadā šifrētas kravas kā IP protokols 50, bez porta numura, kas būtu jāatļauj. NAT traversal iesaiņo šos paketes UDP un sūta uz 4500 portu, tāpēc tik daudz ugunsmūra noteikumu min šo portu. RFC 9329 pievieno plūsmas attēlojumu: IKE un IPsec paketes abas ceļo vienā TCP savienojumā, parasti uz 4500 portu.
Plūsma nav tīmekļa pakalpojums. TCP savienojums uz 4500 neko nepasaka par HTTP, TLS vai draudzīgumu starpniekserverim, un HTTP starpniekserveris ceļā parasti salauzīs ietvaru, nevis to pārvadās.
Iepriekšēja pārbaude pirms ugunsmūra aizskaršanas
Standarts TCP izvieto kā rezerves variantu tīkliem, kas atmet UDP ceļu, nevis kā tā aizstājēju. Iegūstiet divus faktus no katra piegādātāja: precīzu funkcijas nosaukumu un versiju, kas ievieš RFC 9329, nevis patentētu variantu. Birkas kā IPsec over TCP ir izmantotas nesaistītiem dizainiem, tāpēc pieprasiet dokumenta atsauci un konfigurācijas atslēgu, kas to ieslēdz. Bez abām atbildēm neko nepieņemiet par vadu savietojamību.
Pierādiet to laboratorijā, kur abi gali ir jūsējie. Vārteja, kas atbild uz TCP 4500, bet nekad pabeidz IKE, ir klausītāja bez atbilstošas iekapsulēšanas otrā pusē pazīme, un to atklāt tur ir daudz lētāk nekā izmaiņu loga laikā.
Atbildētāja pusē: vai kaut kas klausās
Sāciet ar ligzdu. ss -ltnp | grep 4500 parāda, vai ir TCP klausītājs un kura procesa īpašumā tas ir. Rindas neesamība pabeidz izmeklēšanu vārtejas konfigurācijā, nevis tīklā.
Ja ligzda ir, vērojiet rokasspiedienu, nevis miniet no klienta puses: tcpdump -ni any 'tcp port 4500'. Pabeigts trīsceļu rokasspiediens un pēc tam klusums nozīmē, ka plūsma tika pieņemta un IKE apmaiņa tajā neizdevās, savukārt SYN bez atbildes norāda uz filtrēšanu vai nepareizu adresi.
Salīdziniet ar UDP ceļu tajā pašā uztveršanas logā, lai abi netiktu sajaukti: tcpdump -ni any 'udp port 4500 or proto 50'. Trafiks 50 protokolā vai UDP 4500 portā, kamēr uzskatāt, ka tiek izmantots TCP, nozīmē, ka puses nekad vienojās par rezerves variantu. Ja iespējams, uztveriet arī vārtejā, jo uztveršana klienta pusē nevar parādīt, ko nosūtīja tālais gals.
Pieņemiet četros atsevišķos posmos
Uzlaišanu uzskatiet par četriem rezultātiem. Katrs var neizdoties cita iemesla dēļ, un viens izgāja vai neizdevās slēpj, kurš tas bija, tāpēc apstājieties pie pirmā neizdevušā posma un sāciet no jauna no augšas.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Ceturtais posms ir tas, kas tiek izlaists. Esošā sesija var turpināt darboties uz kešatmiņā saglabāta stāvokļa, tāpēc pirms izmaiņu aizvēršanas atveriet jaunu savienojumu ar resursdatoru aiz vārtejas. Ja otrais posms neizdodas, kamēr pirmais iziet, nesaskaņa ir priekšlikumā vai iekapsulēšanas iestatījumā, nevis ugunsmūrī.
Atritināšana un izmaksas, to atstājot ieslēgtu
Pirms izmaiņām izplānojiet atsaukšanu: izslēdziet iekapsulēšanas opciju abos galos un apstipriniet, ka tunelis atgriežas pa UDP. Paturiet TCP noteikumu vienu pārskatīšanas ciklu, ja rezerves variants atkal būs vajadzīgs, pēc tam noņemiet to. Neizmantots klausītājs uz 4500 ir virsma bez jebkādas operatīvās vērtības.
Sekojiet veiktspējas pazīmei, kad tas nesīs reālu darbu. TCP TCP iekšienē pievieno apstiprinājuma slāņus, kas iestrēgst pie viena zuduma, un plūsmas, kas dala vienu savienojumu, var bloķēt viena otru, tāpēc mēriet lietojumprogrammu, kas izmantos tuneli, nevis ping.
Pieņemšanas saraksts
Apstipriniet funkcijas nosaukumu un versiju abos galos, klausītāju atbildētāja pusē, uztveršanu, kas parāda pabeigtu rokasspiedienu, un četrus posmus, kas fiksēti ar laika zīmogiem. Pievienojiet rezerves varianta iemeslu izmaiņu ierakstam, lai nākamais inženieris zinātu, kāpēc TCP tur ir. Vingriniet atritināšanu, pirms tā ir vajadzīga.
Ja kāds posms neizdodas, labojiet tikai to posmu. Šifrēšanas kopas vai identitātes iestatījumu maiņa, lai dzītos pēc transporta problēmas, parasti pievieno otru, nesaistītu kļūmi virs pirmās.