IKEv2 ги користи UDP 500 и 4500: кој од нив ги носи податоците?

Отворањето на UDP 500 во огнениот ѕид му овозможува на тунелот да преговара, а потоа врската престанува да пропушта сообраќај. Списокот на порти беше нецелосен, а не погрешен. IKEv2 започнува на еден сокет и во многу реални распоредувања продолжува на друг, додека полезниот товар може воопшто да не е порт. Читањето на фазите по ред објаснува кое правило недостасува.

Две порти, две задачи

IKEv2 започнува со размена на клучеви на UDP 500, каде страните се автентицираат и воспоставуваат безбедносна асоцијација за тунелот. Патеката на податоци што следи е одделно прашање: тоа може да биде нативен ESP, кој е број на IP протокол, а не порт, или сообраќај инкапсулиран во UDP на 4500. Одвојувањето на овие две во преглед на огнен ѕид е разликата помеѓу тунел што преговара и тунел што работи. Еден сокет го носи управувањето, а другиот товарот.

Затоа правило што дозволува само 500 го создава најзбунувачкиот симптом во целото семејство протоколи: преговорите успеваат и ништо корисно не следи. Состојбата покажува партнер, дневникот покажува воспоставена IKE SA, а апликацијата сѐ уште истекува. Дозволата што недостасува припаѓа на друг тек од оној што штотуку успеа.

Зошто воопшто постои 4500

Многу NAT уреди не можат да пренесуваат протокол освен TCP или UDP, а некои ги препишуваат адресите на начин што ја крши проверката за интегритет на ESP. Инкапсулирањето на ESP во UDP ги решава двата проблема, по цена на дополнително заглавие и втора порта што треба да се дозволи. Токму таа инкапсулација е причината зошто втората порта воопшто постои.

Откако ќе се открие NAT, и самиот IKE преминува на 4500 за целиот сообраќај да дели една патека низ преведувачот. Ознака од четири бајти што не е ESP ги разликува контролните пораки од податоците на тој сокет. Преминот е одлука на протоколот, а не преференца на администраторот.

Каде се менува изворната порта

Преведувачот може да ја препише изворната порта на клиентот, па торката што ја гледа серверот не се совпаѓа со торката на клиентот. Погледнете ги двете страни на секој NAT скок пред да заклучите дека правилото се игнорира. Решавањето проблеми само на клиентот може да даде правило што изгледа точно, а сепак не успева.

Имплементациите со поддршка на MOBIKE можат да преминат на 4500 и без откриен NAT, а некои распоредувања намерно ја наметнуваат таа патека. Затоа гледањето 4500 е доказ за одлука, а не доказ за домашен рутер.

Проверете ги двата тека на секоја граница

Поминете низ трите граници: мрежата на клиентот, секој посреден огнен ѕид и серверот. Секоја бара тековите што ги документира распоредувањето, а не тековите од текст за друг случај.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Линијата ESP во списокот на огнен ѕид е совпаѓање на протокол, па правилото за порта никогаш не ја покрива. Ако операторот користи прилагодена порта, следете ја документираната конфигурација на двата краја, бидејќи клиентот не може да создаде слушач на серверот со избирање познат број.

Запишете каде застанаа преговорите и дали е инсталирана подредена безбедносна асоцијација, бидејќи тој пар одвојува блокирана патека од грешка во автентикацијата или политиката. Потоа повторете го тестот со вклучена проверка на серверот, бидејќи достапноста не е автентикација. Тој последен чекор одвојува дозволена порта од доверлив партнер.