ESP бол IP 50 протокол, TCP 50 порт биш: юуг зөвшөөрөх вэ
Протоколын дугаар ба портын дугаар нь өөр өөр нэрийн орон зай юм. TCP 50 портын дүрэм юуг ч зөвшөөрөхгүй бөгөөд NAT traversal ESP-г UDP 4500 руу шилжүүлдэг.
Галт хананы маягтууд TCP порт асуудаг бөгөөд ойлгомжтой хариулт нь 50. Тэр хариулт юуг ч зөвшөөрөхгүй, учир нь ESP бол 50 дугаартай IP протокол бөгөөд протоколын дугаар нь порт биш. Хоёр нэрийн орон зай зөвхөн жижиг бүхэл тоог хуваалцаж, өөр юуг ч биш, алдаа нь IKE дуусах ба хамгаалагдсан урсгал хэзээ ч ирэхгүй болтол үл үзэгдэх хэвээр байна.
Жижиг тоог хуваалцдаг хоёр нэрийн орон зай
IP толгой нь дараагийн юу ирэхийг нэрлэдэг протоколын талбар агуулдаг: TCP-д 6, UDP-д 17, ICMP-д 1, ESP-д 50, AH-д 51. TCP эсвэл UDP толгой нь портын дугаар агуулдаг бөгөөд тэдгээр нь очих хост дээр процесс сонгодог. 50 протокол ба TCP 50 порт нь хамааралгүй утгууд боловч харилцах цонх тэдгээрийг солилцох боломжтой мэт харагдуулж чадна.
Тиймээс порт дамжуулах дүрэм уугуул ESP-г илэрхийлж чадахгүй. Дамжуулах ESP очих порт байхгүй бөгөөд зөвхөн портын дүрэм ойлгодог төхөөрөмжид энэ пакетын талаар ямар ч үг байхгүй. Зөв дүрэм оронд нь IP протоколыг нэрлэдэг. Аливаа портын харилцан яриа энэ пакетад тохиромжгүй хэрэгсэл юм.
Төөрөгдөл хоёр дахь хагастай. Пакет шифрлэгдсэн үед доторх бүх зүйл тунгалаг бус, үүнд анхны холболтын TCP толгой ч орно. Тэр пакет дээр порт шалгадаг галт хана гадна толгойг хардаг бөгөөд уугуул тохиолдолд тэнд шалгах порт байхгүй.
Уугуул ESP, дараа нь капсуллагдсан хувилбар
Уугуул ESP нь IP протокол хэлбэрээр шууд дамждаг бөгөөд энэ нь адилхан үр дүнтэй, төвөгтэй. Нэмэлт толгой байхгүй учраас үр дүнтэй, хаяг ба порт хөрвүүлдэг ямар ч төхөөрөмж үүнийг мөрдөж чадахгүй учраас төвөгтэй. NAT traversal яг үүнийг шийдэхийн тулд байдаг: ESP пакетыг UDP дотор ороож, хөрвүүлэгчид дахин бичих порт өгдөг.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Хоёр хэлбэр нь нэг мэдээллийн сувгийн өөр хувилбар суурилуулалт бөгөөд нэгний давхарга биш. Уугуул ESP-г зөвшөөрөх нь капсуллагдсан хэлбэрийг зөвшөөрөхгүй, UDP 4500-г зөвшөөрөх нь уугуул урсгалыг зөвшөөрөхгүй, тиймээс дүрмийн багц суурилуулалтад тохирох ёстой, санамсаргүйгээр хоёуланг нь хамах ёсгүй.
Энд илрүүлэх нь бас чухал. Төгсгөлийн цэгүүд хэлэлцээрийн үеэр хэлбэрүүдийн хооронд шийддэг бөгөөд шилжилт ихэвчлэн тэдний хооронд NAT илэрсэн үед тохиолддог. Тиймээс туннель үүссэний дараа өөрчлөгдөх зам нь урсгалыг таны дүрэм хэзээ ч хамаагүй байсан нэрийн орон зай руу шилжүүлж болно.
Холболт яг ямар хэлбэрийг ашиглаж байгааг уншина уу
Галт ханаас таамаглахын оронд төгсгөлийн цэгээс асуу. Linux дээр төлөвийн бичлэг нь холбоо UDP капсулалт ашиглаж байгаа эсэх, ямар порт оролцож байгааг мэдээлдэг. Пакет барих нь мөн адил асуултад утсаас хариулдаг бөгөөд хоёулаа дүрмийн багцыг уншиж найдахаас хурдан.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Эхний команд нь NAT traversal ашиглагдаж байгаа үед капсулалтын төрлийг харуулж, ашиглагдаагүй үед юу ч харуулахгүй. Хоёр дахь нь хоёр хэлбэрийн аль нь интерфэйсээр үнэхээр гарч байгааг харуулж, энэ нь цаасан дээр зөв харагдах тохиргооны талаарх маргааныг дуусгадаг.
Эсрэг нотолгоо мөн адил алхамд хамаарна. Тэг тохирол мэдээлдэг дүрэм пакет түүнд хэзээ ч хүрээгүй гэж хэлдэг бөгөөд энэ нь галт хана биш, чиглүүлэлт эсвэл сонгогчийн асуудал юм.
Дараа нь хяналтын сувгийг тусад нь баталгаажуулна уу. IKE нь өөрийн порт, өөрийн бүртгэлтэй бөгөөд мэдээлэлгүйгээр дууссан хэлэлцээр нь энэ нийтлэлийн тухай яриач задрал юм.
Дүрмийг зөв нэрийн орон зайд бич
Протоколын дүрэм ба портын дүрэм нь өөр заавар тул хэрэгсэл таны хэлэх гэсэн зүйлийг илэрхийлэх ёстой. nftables-д протоколын тохирол тодорхой бөгөөд капсуллагдсан хувилбар өөрийн UDP дүрмийг авдаг. Хоёр дүрмийг зэрэгцүүлэн байлгаж, хянах үед хос харагдах болтугай.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptБуруу оношийг нөхөхийн тулд аль нэг дүрмийг өргөтгөх уруу таталтад бүү авт. Бүх интерфэйс дээр ESP протоколд бүгдийг зөвшөөрөх, эсвэл хаанаас ч хаашаа UDP зөвшөөрөх нь шинж тэмдгийг засдаг ч таны тохируулахыг хүссэн хяналтыг устгадаг. Хэлбэр нь тодорхой болсны дараа нарийн дэмжигдсэн урсгал бараг үргэлж хангалттай.
Эцэст нь, туннель ажиллаж байгаа ч програм ажиллахгүй үед давхаргыг зөв байлга. Гарц дээр ирж буй пакетууд дамжуулалт, буцах зам, тэднийг хүлээн авах бодлого шаарддаг бөгөөд тэдгээрийн аль нь ч ESP дүрмээр илэрхийлэгдэхгүй. Дутуу порт нь тодорхой нэг алдааг тайлбарладаг, IPsec-ийн бүх алдааг биш. Дүрмийн засвар ба чиглүүлэлтийн шалгалтыг хоёр тусдаа дүгнэлт болгон байлга.
Таны ажигласан хэлбэр, нэмсэн протоколын дүрэм, дараа нь харсан тоолуурыг бич. Гурван мөр, дараагийн хүн нэрийн орон зайн алдааг чиглүүлэлтийн алдаанаас хагас өдрийн оронд нэг минутад ялгаж чадна.