TCP-യിലെ IKE 4500: പോർട്ട് നിയമത്തിന് മുമ്പ് ഇരു അറ്റങ്ങളും പരിശോധിക്കുക
TCP എൻകാപ്സുലേഷൻ ഇരു അറ്റങ്ങളും ചർച്ച ചെയ്യുന്നു, ഫയർവാൾ നിയമം അത് നൽകുന്നില്ല. ലിസണർ പരിശോധന, ക്യാപ്ചർ, നാല് സ്വീകാര്യ ഘട്ടങ്ങൾ എന്നിവ ക്രമത്തിൽ നടത്തുക.
പിന്തുണാ ടിക്കറ്റുകൾ പലപ്പോഴും ഫയർവാൾ മാറ്റം ഇതിനകം അംഗീകരിക്കപ്പെട്ടിട്ടും ടണൽ ഇപ്പോഴും ഉയരാൻ വിസമ്മതിക്കുമ്പോൾ എത്തുന്നു. സവിശേഷത ഒരു അറ്റത്ത് മാത്രമുള്ളപ്പോൾ ഇതാണ് പ്രതീക്ഷിത ഫലം: RFC 9329 പ്രകാരം TCP എൻകാപ്സുലേഷൻ ഇരു അറ്റങ്ങളിലും നടപ്പാക്കി കോൺഫിഗർ ചെയ്യണം, സംരക്ഷിത ട്രാഫിക് നീങ്ങുന്നതിന് മുമ്പ് ബന്ധത്തിനുള്ളിൽ കരാർ ഉണ്ടാകുന്നു. പോർട്ട് തുറക്കുന്നത് ഇല്ലായിരിക്കാം എന്ന ലിസണറെ പ്രഖ്യാപിക്കുന്നു, മറുവശത്ത് യോജിക്കുന്ന കോൺഫിഗറേഷൻ ഇല്ലാത്ത ലിസണർ ബന്ധം സ്വീകരിച്ച് പിന്നീട് നിശബ്ദമാകുന്നു. താഴെയുള്ള ക്രമം വിലകുറഞ്ഞ പരിശോധനകൾ ആദ്യം വയ്ക്കുന്നു.
ഓപ്ഷൻ യഥാർത്ഥത്തിൽ എന്ത് ചേർക്കുന്നു എന്ന് അറിയുക
സ്വദേശീയ IPsec എൻക്രിപ്റ്റ് ചെയ്ത പേലോഡുകൾ ഇങ്ങനെ കൊണ്ടുപോകുന്നു: IP പ്രോട്ടോക്കോൾ 50, അനുവദിക്കേണ്ട പോർട്ട് നമ്പർ ഇല്ലാതെ. NAT ട്രാവേഴ്സൽ ആ പാക്കറ്റുകൾ UDP-യിൽ പൊതിഞ്ഞ് പോർട്ട് 4500-ലേക്ക് അയയ്ക്കുന്നു, അതുകൊണ്ടാണ് ഇത്രയധികം ഫയർവാൾ നിയമങ്ങൾ ആ പോർട്ട് പരാമർശിക്കുന്നത്. RFC 9329 ഒരു സ്ട്രീം പ്രതിനിധാനം ചേർക്കുന്നു: IKE, IPsec പാക്കറ്റുകൾ രണ്ടും ഒരേ TCP ബന്ധത്തിനുള്ളിൽ, സാധാരണയായി പോർട്ട് 4500-ലേക്ക് സഞ്ചരിക്കുന്നു.
സ്ട്രീം ഒരു വെബ് സേവനമല്ല. 4500-ലേക്കുള്ള TCP ബന്ധം HTTP, TLS അല്ലെങ്കിൽ പ്രോക്സി സൗഹൃദത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, പാതയിലെ HTTP പ്രോക്സി സാധാരണയായി അത് കൊണ്ടുപോകുന്നതിനുപകരം ഫ്രെയിമിംഗ് തകർക്കും.
ഫയർവാൾ തൊടുന്നതിന് മുമ്പുള്ള പൂർവ്വപരിശോധന
സ്റ്റാൻഡേർഡ് TCP-യെ UDP പാത ഉപേക്ഷിക്കുന്ന നെറ്റ്വർക്കുകൾക്കുള്ള ബാക്കപ്പായി നിർത്തുന്നു, അതിന്റെ പകരമായി അല്ല. ഓരോ വിൽപ്പനക്കാരനിൽ നിന്നും രണ്ട് വസ്തുതകൾ നേടുക: സവിശേഷതയുടെ കൃത്യമായ പേരും സ്വന്തം രൂപഭേദത്തിനുപകരം RFC 9329 നടപ്പാക്കുന്ന പതിപ്പും. IPsec over TCP പോലുള്ള ലേബലുകൾ ബന്ധമില്ലാത്ത രൂപകൽപ്പനകൾക്ക് ഉപയോഗിച്ചിട്ടുണ്ട്, അതിനാൽ രേഖാ റഫറൻസും അത് ഓണാക്കുന്ന കോൺഫിഗറേഷൻ കീയും ആവശ്യപ്പെടുക. രണ്ട് ഉത്തരങ്ങളും ഇല്ലാതെ വയർ അനുയോജ്യതയെക്കുറിച്ച് ഒന്നും അനുമാനിക്കരുത്.
ഇരു അറ്റങ്ങളും നിങ്ങളുടേതായ ലബോറട്ടറിയിൽ അത് തെളിയിക്കുക. TCP 4500-ൽ പ്രതികരിക്കുകയും എന്നാൽ IKE ഒരിക്കലും പൂർത്തിയാക്കാതിരിക്കുകയും ചെയ്യുന്ന ഗേറ്റ്വേ, മറുവശത്ത് യോജിക്കുന്ന എൻകാപ്സുലേഷൻ ഇല്ലാത്ത ലിസണറിന്റെ അടയാളമാണ്, അത് അവിടെ കണ്ടെത്തുന്നത് മാറ്റ വിൻഡോയിൽ കണ്ടെത്തുന്നതിനേക്കാൾ വളരെ വിലകുറഞ്ഞതാണ്.
പ്രതികരിക്കുന്നയാളിൽ: എന്തെങ്കിലും കേൾക്കുന്നുണ്ടോ
സോക്കറ്റിൽ നിന്ന് തുടങ്ങുക. ss -ltnp | grep 4500 TCP ലിസണർ ഉണ്ടോ ഏത് പ്രോസസ് അതിനെ കൈവശം വയ്ക്കുന്നു എന്ന് കാണിക്കുന്നു. ഒരു വരി ഇല്ലാതിരിക്കുന്നത് അന്വേഷണം നെറ്റ്വർക്കിൽ അല്ല, ഗേറ്റ്വേ കോൺഫിഗറേഷനിൽ അവസാനിപ്പിക്കുന്നു.
സോക്കറ്റ് ഉണ്ടെങ്കിൽ, ക്ലയന്റ് ഭാഗത്തുനിന്ന് ഊഹിക്കുന്നതിനുപകരം ഹാൻഡ്ഷേക്ക് നിരീക്ഷിക്കുക: tcpdump -ni any 'tcp port 4500'. പൂർത്തിയായ ത്രിദിശാ ഹാൻഡ്ഷെക്കിന് ശേഷം നിശബ്ദത എന്നാൽ സ്ട്രീം സ്വീകരിക്കപ്പെട്ടു, അതിനുള്ളിലെ IKE കൈമാറ്റം പരാജയപ്പെട്ടു, എന്നാൽ മറുപടിയില്ലാത്ത SYN ഫിൽട്ടറിംഗിനെയോ തെറ്റായ വിലാസത്തെയോ സൂചിപ്പിക്കുന്നു.
രണ്ടും കൂടിച്ചേരാതിരിക്കാൻ അതേ ക്യാപ്ചർ വിൻഡോയിൽ UDP പാതയുമായി താരതമ്യം ചെയ്യുക: tcpdump -ni any 'udp port 4500 or proto 50'. TCP ഉപയോഗിക്കുന്നു എന്ന് നിങ്ങൾ കരുതുമ്പോൾ പ്രോട്ടോക്കോൾ 50-ലോ UDP പോർട്ട് 4500-ലോ ട്രാഫിക് ഉണ്ടെങ്കിൽ ഇരു അറ്റങ്ങളും ബാക്കപ്പിൽ ഒരിക്കലും യോജിച്ചിട്ടില്ല എന്നർത്ഥം. കഴിയുമെങ്കിൽ ഗേറ്റ്വേയിലും ക്യാപ്ചർ ചെയ്യുക, കാരണം ക്ലയന്റ് ഭാഗത്തെ ക്യാപ്ചർ ദൂരെയുള്ള അറ്റം എന്ത് അയച്ചു എന്ന് കാണിക്കാൻ കഴിയില്ല.
നാല് വെവ്വേറെ ഘട്ടങ്ങളിൽ സ്വീകരിക്കുക
ഉയരുന്നതിനെ നാല് ഫലങ്ങളായി കാണുക. ഓരോന്നും വ്യത്യസ്ത കാരണത്താൽ പരാജയപ്പെടാം, ഒരു ഒറ്റ പാസോ ഫെയിലോ ഏതായിരുന്നു എന്ന് മറയ്ക്കുന്നു, അതിനാൽ പരാജയപ്പെടുന്ന ആദ്യ ഘട്ടത്തിൽ നിർത്തി വീണ്ടും മുകളിൽ നിന്ന് തുടങ്ങുക.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
നാലാം ഘട്ടമാണ് ഒഴിവാക്കപ്പെടുന്നത്. നിലവിലുള്ള സെഷൻ കാഷ് ചെയ്ത അവസ്ഥയിൽ തുടർന്ന് പ്രവർത്തിച്ചേക്കാം, അതിനാൽ മാറ്റം അടയ്ക്കുന്നതിന് മുമ്പ് ഗേറ്റ്വേയ്ക്ക് പിന്നിലെ ഹോസ്റ്റിലേക്ക് പുതിയ ബന്ധം തുറക്കുക. രണ്ടാം ഘട്ടം പരാജയപ്പെടുകയും ആദ്യത്തേത് കടക്കുകയും ചെയ്താൽ, വിയോജിപ്പ് നിർദ്ദേശത്തിലോ എൻകാപ്സുലേഷൻ ക്രമീകരണത്തിലോ ആണ്, ഫയർവാളിൽ അല്ല.
റോൾബാക്കും അത് ഓണാക്കി വയ്ക്കുന്നതിന്റെ ചെലവും
മാറ്റത്തിന് മുമ്പ് പിൻവലിക്കൽ ആസൂത്രണം ചെയ്യുക: ഇരു അറ്റങ്ങളിലും എൻകാപ്സുലേഷൻ ഓപ്ഷൻ ഓഫ് ചെയ്ത് ടണൽ UDP വഴി തിരികെ വരുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക. ബാക്കപ്പ് വീണ്ടും ആവശ്യമായാൽ ഒരു അവലോകന ചക്രത്തിന് TCP നിയമം സൂക്ഷിക്കുക, പിന്നീട് നീക്കം ചെയ്യുക. 4500-ൽ ഉപയോഗിക്കാത്ത ലിസണർ പ്രവർത്തന മൂല്യമില്ലാത്ത പ്രതലമാണ്.
യഥാർത്ഥ ജോലി വഹിക്കാൻ തുടങ്ങുമ്പോൾ പ്രകടന സൂചന ശ്രദ്ധിക്കുക. TCP-യ്ക്കുള്ളിലെ TCP ഒരു നഷ്ടത്തിൽ നിൽക്കുന്ന അംഗീകാര പാളികൾ ചേർക്കുന്നു, ഒരു ബന്ധം പങ്കിടുന്ന സ്ട്രീമുകൾ പരസ്പരം തടയാം, അതിനാൽ ping-ന് പകരം ടണൽ ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷൻ അളക്കുക.
സ്വീകാര്യ പട്ടിക
ഇരു അറ്റങ്ങളിലും സവിശേഷതയുടെ പേരും പതിപ്പും, പ്രതികരിക്കുന്നയാളിലെ ലിസണർ, പൂർണ്ണ ഹാൻഡ്ഷേക്ക് കാണിക്കുന്ന ക്യാപ്ചർ, സമയ മുദ്രകളോടെ രേഖപ്പെടുത്തിയ നാല് ഘട്ടങ്ങൾ എന്നിവ ഉറപ്പാക്കുക. അടുത്ത എഞ്ചിനീയർക്ക് TCP എന്തിനുണ്ടെന്ന് അറിയാൻ മാറ്റ രേഖയിൽ ബാക്കപ്പിന്റെ കാരണം ചേർക്കുക. ആവശ്യമാകുന്നതിന് മുമ്പ് റോൾബാക്ക് പരിശീലിക്കുക.
ഏതെങ്കിലും ഘട്ടം പരാജയപ്പെട്ടാൽ, ആ ഘട്ടം മാത്രം ശരിയാക്കുക. ഗതാഗത പ്രശ്നത്തിന് പിന്നാലെ സൈഫർ സ്യൂട്ടോ ഐഡന്റിറ്റി ക്രമീകരണങ്ങളോ മാറ്റുന്നത് സാധാരണയായി ആദ്യത്തേതിന് മേൽ രണ്ടാമത്തെ, ബന്ധമില്ലാത്ത പരാജയം ചേർക്കുന്നു.