IKEv2 UDP 500 ഉം 4500 ഉം ഉപയോഗിക്കുന്നു: ഏതാണ് ഡാറ്റ വഹിക്കുന്നത്?

ഫയർവാളിൽ UDP 500 തുറന്നാൽ ടണലിന് ചർച്ച നടത്താം, പിന്നീട് കണക്ഷൻ ട്രാഫിക് കടത്തിവിടുന്നത് നിർത്തും. പോർട്ട് പട്ടിക അപൂർണമായിരുന്നു, തെറ്റല്ല. IKEv2 ഒരു സോക്കറ്റിൽ ആരംഭിച്ച് പല യഥാർത്ഥ വിന്യാസങ്ങളിലും മറ്റൊന്നിൽ തുടരുന്നു, അതേസമയം പേലോഡ് പോർട്ട് പോലുമല്ലായിരിക്കാം. ഘട്ടങ്ങൾ ക്രമത്തിൽ വായിക്കുന്നത് ഏത് നിയമമാണ് കാണാത്തതെന്ന് വിശദീകരിക്കുന്നു.

രണ്ട് പോർട്ട്, രണ്ട് ജോലി

IKEv2 UDP 500-ൽ കീ കൈമാറ്റത്തോടെ ആരംഭിക്കുന്നു, അവിടെ ഇരുവശവും സ്വയം സാക്ഷ്യപ്പെടുത്തി ടണലിനായി സുരക്ഷാ അസോസിയേഷൻ സ്ഥാപിക്കുന്നു. തുടർന്നുള്ള ഡാറ്റാ പാത പ്രത്യേക കാര്യമാണ്: അത് പോർട്ടല്ലാത്ത IP പ്രോട്ടോക്കോൾ നമ്പറായ തദ്ദേശീയ ESP ആകാം, അല്ലെങ്കിൽ 4500-ൽ UDP-യ്ക്കുള്ളിൽ പൊതിഞ്ഞ ട്രാഫിക് ആകാം. ഫയർവാൾ അവലോകനത്തിൽ ഇവയെ വേർതിരിച്ചു നിർത്തുന്നതാണ് ചർച്ച നടത്തുന്ന ടണലും പ്രവർത്തിക്കുന്ന ടണലും തമ്മിലുള്ള വ്യത്യാസം. ഒരു സോക്കറ്റ് നിയന്ത്രണവും മറ്റൊന്ന് പേലോഡും വഹിക്കുന്നു.

അതുകൊണ്ടാണ് 500 മാത്രം അനുവദിക്കുന്ന നിയമം മുഴുവൻ പ്രോട്ടോക്കോൾ കുടുംബത്തിലെ ഏറ്റവും ആശയക്കുഴപ്പമുള്ള ലക്ഷണം സൃഷ്ടിക്കുന്നത്: ചർച്ച വിജയിക്കുന്നു, ഉപയോഗപ്രദമായ ഒന്നും പിന്നീട് വരുന്നില്ല. അവസ്ഥ ഒരു പിയർ കാണിക്കുന്നു, ലോഗ് സ്ഥാപിത IKE SA കാണിക്കുന്നു, ആപ്പ് ഇപ്പോഴും സമയം കവിയുന്നു. കാണാത്ത അനുമതി ഇപ്പോൾ വിജയിച്ച പ്രവാഹത്തിൽ നിന്ന് വ്യത്യസ്തമായ പ്രവാഹത്തിനുള്ളതാണ്.

4500 എന്തിനാണ് ഉള്ളത്

പല NAT ഉപകരണങ്ങൾക്കും TCP അല്ലെങ്കിൽ UDP അല്ലാത്ത പ്രോട്ടോക്കോൾ കൈമാറാൻ കഴിയില്ല, ചിലത് ESP-യുടെ സമഗ്രതാ പരിശോധന തകർക്കുന്ന രീതിയിൽ വിലാസങ്ങൾ വീണ്ടും എഴുതുന്നു. ESP-യെ UDP-യ്ക്കുള്ളിൽ പൊതിയുന്നത് രണ്ട് പ്രശ്നങ്ങളും പരിഹരിക്കുന്നു, എന്നാൽ അധിക ഹെഡറും അനുവദിക്കേണ്ട രണ്ടാം പോർട്ടും വേണം. ആ പൊതിയലാണ് രണ്ടാം പോർട്ട് ഉള്ളതിന്റെ കാരണം.

NAT കണ്ടെത്തിയാൽ IKE തന്നെയും 4500-ലേക്ക് മാറുന്നു, എല്ലാ ട്രാഫിക്കും വിവർത്തകനിലൂടെ ഒരു പാത പങ്കിടാൻ. ESP അല്ലാത്ത നാല് ബൈറ്റ് അടയാളം ആ സോക്കറ്റിൽ നിയന്ത്രണ സന്ദേശങ്ങളെ ഡാറ്റയിൽ നിന്ന് വേർതിരിക്കുന്നു. ഈ മാറ്റം പ്രോട്ടോക്കോളിന്റെ തീരുമാനമാണ്, അഡ്മിനിസ്ട്രേറ്ററുടെ മുൻഗണനയല്ല.

സ്രോതസ്സ് പോർട്ട് എവിടെ മാറുന്നു

വിവർത്തകൻ ക്ലയന്റിന്റെ സ്രോതസ്സ് പോർട്ട് വീണ്ടും എഴുതാം, അതിനാൽ സർവറിൽ കാണുന്ന ട്യൂപ്പിൾ ക്ലയന്റിലെ ട്യൂപ്പിളുമായി പൊരുത്തപ്പെടുന്നില്ല. ഒരു നിയമം അവഗണിക്കപ്പെടുന്നു എന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് ഓരോ NAT ചാട്ടത്തിന്റെയും ഇരുവശവും നോക്കുക. ക്ലയന്റിൽ മാത്രം പ്രശ്നം തിരയുന്നത് ശരിയായി തോന്നുന്ന, എന്നിട്ടും പരാജയപ്പെടുന്ന നിയമം നൽകാം.

MOBIKE പിന്തുണയുള്ള നടപ്പാക്കലുകൾ NAT കണ്ടെത്താതെയും 4500-ലേക്ക് മാറാം, ചില വിന്യാസങ്ങൾ ആ പാത ബോധപൂർവം നിർബന്ധിക്കുന്നു. അതിനാൽ 4500 കാണുന്നത് ഒരു തീരുമാനത്തിന്റെ തെളിവാണ്, വീട്ടിലെ റൗട്ടറിന്റെ തെളിവല്ല.

ഓരോ അതിർത്തിയിലും രണ്ട് പ്രവാഹങ്ങളും പരിശോധിക്കുക

മൂന്ന് അതിർത്തികളിലൂടെ പോകുക: ക്ലയന്റ് നെറ്റ്വർക്ക്, ഏതെങ്കിലും ഇടനില ഫയർവാൾ, സർവർ. ഓരോന്നിനും വിന്യാസം രേഖപ്പെടുത്തുന്ന പ്രവാഹങ്ങൾ വേണം, മറ്റൊരു സന്ദർഭത്തെക്കുറിച്ചുള്ള ലേഖനത്തിലെ പ്രവാഹങ്ങളല്ല.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ഫയർവാൾ പട്ടികയിലെ ESP വരി ഒരു പ്രോട്ടോക്കോൾ പൊരുത്തമാണ്, അതിനാൽ പോർട്ട് നിയമം അതിനെ ഒരിക്കലും ഉൾക്കൊള്ളുന്നില്ല. ഓപ്പറേറ്റർ ഇഷ്ടാനുസൃത പോർട്ട് ഉപയോഗിക്കുന്നുവെങ്കിൽ, ഇരു അറ്റങ്ങളിലും രേഖപ്പെടുത്തിയ കോൺഫിഗറേഷൻ പിന്തുടരുക, കാരണം പരിചിതമായ ഒരു നമ്പർ തിരഞ്ഞെടുത്ത് ക്ലയന്റിന് സർവറിൽ ശ്രോതാവ് സൃഷ്ടിക്കാനാവില്ല.

ചർച്ച എവിടെ നിന്നു, ഒരു ചൈൽഡ് സുരക്ഷാ അസോസിയേഷൻ ഇൻസ്റ്റാൾ ചെയ്തോ എന്ന് രേഖപ്പെടുത്തുക, കാരണം ഈ ജോടി തടയപ്പെട്ട പാതയെ സാക്ഷ്യപ്പെടുത്തലിലെയോ നയത്തിലെയോ പിശകിൽ നിന്ന് വേർതിരിക്കുന്നു. തുടർന്ന് സർവർ പരിശോധന സജീവമാക്കി പരീക്ഷണം ആവർത്തിക്കുക, കാരണം എത്തിച്ചേരൽ സാക്ഷ്യപ്പെടുത്തലല്ല. ആ അവസാന ഘട്ടം അനുവദിച്ച പോർട്ടിനെ വിശ്വസനീയമായ പിയറിൽ നിന്ന് വേർതിരിക്കുന്നു.