IKE преку TCP 4500: проверете ги двете страни пред правилото за порта
TCP инкапсулацијата ја договараат двете страни, а не ја дава правило на огнен ѕид. Изведете ја проверката на слушателот, снимањето и четирите фази на прифаќање по ред.
Билетите за поддршка често пристигнуваат кога промената на огнениот ѕид е веќе одобрена, а тунелот сѐ уште одбива да се крене. Тоа е очекуваниот резултат кога само едната страна ја има функцијата: TCP инкапсулацијата според RFC 9329 мора да се имплементира и конфигурира на двете страни, а договорот се случува внатре во врската пред да се движи било кој заштитен сообраќај. Отворањето порта рекламира слушател што можеби не постои, а слушател без соодветна конфигурација од другата страна прифаќа врска и потоа замолчува. Редоследот подолу ги става евтините проверки први.
Знајте што всушност додава опцијата
Вградениот IPsec носи шифрирани полезни товари како IP протокол 50, без број на порта што треба да се дозволи. NAT traversal ги завиткува тие пакети во UDP кон портата 4500, и затоа толку многу правила на огнениот ѕид ја споменуваат таа порта. RFC 9329 додава претстава на тек: пакетите IKE и IPsec и двата патуваат во една TCP врска, обично кон портата 4500.
Текот не е веб-услуга. TCP врска кон 4500 не кажува ништо за HTTP, TLS или пријателство со посредник, а HTTP посредник на патот обично ќе го скрши врамувањето наместо да го пренесе.
Претходна проверка пред да го допрете огнениот ѕид
Стандардот го поставува TCP како резервна опција за мрежи што ја фрлаат UDP патеката, а не како нејзина замена. Земете два факти од секој добавувач: точното име на функцијата и верзијата што имплементира RFC 9329, а не сопствена варијанта. Ознаките како IPsec over TCP се користени за неповрзани решенија, затоа побарајте ја референцата на документот и конфигурацискиот клуч што ја вклучува. Без двата одговора, не претпоставувајте ништо за компатибилноста на жицата.
Докажете го тоа во лабораторија каде двете страни се ваши. Излезот што одговара на TCP 4500, но никогаш не го завршува IKE, е потпис на слушател без соодветната инкапсулација од другата страна, и тоа е многу поевтино да се открие таму отколку за време на прозорец за промена.
На страната што одговара: дали нешто слуша
Започнете со сокетот. ss -ltnp | grep 4500 покажува дали постои TCP слушател и кој процес го поседува. Отсуството на линија ја завршува истрагата на конфигурацијата на излезот, а не на мрежата.
Ако сокетот е таму, набљудувајте го ракувањето наместо да претпоставувате од клиентската страна: tcpdump -ni any 'tcp port 4500'. Завршено тринасочно ракување проследено со тишина значи дека текот е прифатен и размената на IKE во него не успеала, додека SYN без одговор укажува на филтрирање или на погрешна адреса.
Споредете со UDP патеката во истиот прозорец за снимање за да не се помешаат двете: tcpdump -ni any 'udp port 4500 or proto 50'. Сообраќај на протокол 50 или UDP порта 4500 додека верувате дека се користи TCP значи дека страните никогаш не се договориле за резервата. Снимајте и на излезот ако можете, бидејќи снимањето од клиентската страна не може да покаже што испратил далечниот крај.
Прифатете во четири одделни фази
Третирајте го кревањето како четири резултати. Секој може да не успее од различна причина, а еден единствен успех или неуспех крие кој бил, затоа застанете на првата фаза што не успева и почнете повторно од почеток.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Четвртата фаза е онаа што се прескокнува. Постоечката сесија може да продолжи да работи на кеширана состојба, затоа отворете нова врска кон домаќин зад излезот пред да ја затворите промената. Ако втората фаза не успее додека првата поминува, несогласувањето е во предлогот или во поставката за инкапсулација, а не во огнениот ѕид.
Враќање назад и цената да се остави вклучено
Планирајте го враќањето пред промената: исклучете ја опцијата за инкапсулација на двете страни и потврдете дека тунелот се враќа преку UDP. Задржете го TCP правилото еден циклус на преглед во случај резервата повторно да биде потребна, потоа отстранете го. Неискористен слушател на 4500 е површина без оперативна вредност.
Гледајте го потписот на изведбата кога ќе почне да носи вистинска работа. TCP во TCP додава слоеви за потврда што застануваат при едно губење, а тековите што делат една врска можат да се блокираат меѓусебно, затоа мерете ја апликацијата што ќе го користи тунелот наместо ping.
Список за прифаќање
Потврдете го името и верзијата на функцијата на двете страни, слушателот на страната што одговара, снимањето што покажува завршено ракување и четирите фази запишани со временски ознаки. Додајте ја причината за резервата во записот за промената за да знае следниот инженер зошто е тука TCP. Вежбајте го враќањето пред да ви треба.
Ако некоја фаза не успее, поправете ја само таа фаза. Менувањето на шифрениот пакет или поставките за идентитет за да се брка проблем со транспортот обично додава втор, неповрзан неуспех врз првиот.