TCP дээрх IKE 4500: портын дүрэмээс өмнө хоёр талыг шалгана уу
TCP инкапсуляцийг хоёр тал тохиролцдог бөгөөд галт хананы дүрэм үүнийг олгодоггүй. Сонсогчийн шалгалт, бичлэг болон дөрвөн хүлээн авах үеийг дарааллаар гүйцэтгэнэ үү.
Дэмжлэгийн тасалбарууд ихэвчлэн галт ханын өөрчлөлт аль хэдийн зөвшөөрөгдсөн ч туннель өнөөг хүртэл босохыг татгалзсан үед ирдэг. Энэ нь боломж зөвхөн нэг талд байх үед хүлээгдэж буй үр дүн юм: RFC 9329-ийн TCP инкапсуляцийг хоёр талд хэрэгжүүлж тохируулах ёстой бөгөөд хамгаалагдсан урсгал хөдлөхөөс өмнө холболтын дотор тохиролцоо үүсдэг. Порт нээх нь байхгүй байж болох сонсогчийг зарладаг бөгөөд нөгөө талд тохирох тохиргоогүй сонсогч холболтыг хүлээн авч дараа нь дуугүй болдог. Доорх дараалал хямд шалгалтуудыг эхэнд тавьдаг.
Сонголт үнэндээ юу нэмдэгийг мэдээрэй
Дотоодын IPsec шифрлэгдсэн ачааллыг ингэж зөөдөг: IP протокол 50, зөвшөөрөх шаардлагатай портын дугааргүйгээр. NAT traversal тэдгээр пакетыг UDP-д ороож 4500 порт руу илгээдэг, тиймээс олон галт ханын дүрэм тэр портыг дурддаг. RFC 9329 урсгалын дүрслэл нэмдэг: IKE болон IPsec пакетууд хоёулаа нэг TCP холболтын дотор, ихэвчлэн 4500 порт руу явдаг.
Урсгал нь вэб үйлчилгээ биш. 4500 руу TCP холболт HTTP, TLS эсвэл проксид ээлтэй байдлын талаар юу ч хэлэхгүй, замын HTTP прокси ихэвчлэн зөөхийн оронд хүрээг эвддэг.
Галт хананд хүрэхээс өмнөх урьдчилсан шалгалт
Стандарт TCP-г UDP замыг хаядаг сүлжээнд нөөц сонголт болгон тавьдаг бөгөөд түүний орлуулагч биш. Нийлүүлэгч бүрээс хоёр баримт аваарай: боломжийн яг нэр болон өөрийн хувилбарын оронд RFC 9329-г хэрэгжүүлсэн хувилбар. IPsec over TCP зэрэг шошгыг хамааралгүй загварт ашигласан тул баримт бичгийн лавлагаа болон үүнийг асаах тохиргооны түлхүүрийг асуугаарай. Хоёр хариултгүйгээр утсан дээрх нийцтэй байдлын талаар юу ч бүү таамагла.
Үүнийг хоёр тал таных байх лабораторид нотлоорой. TCP 4500-д хариулдаг ч IKE-г хэзээ ч дуусгадаггүй гарц нь нөгөө талд тохирох инкапсуляцигүй сонсогчийн шинж бөгөөд үүнийг тэнд илрүүлэх нь өөрчлөлтийн цонхны үеэр илрүүлэхээс хамаагүй хямд.
Хариу үйлдэгч талд: ямар нэгэн зүйл сонсож байна уу
Сокетоос эхэл. ss -ltnp | grep 4500 TCP сонсогч байгаа эсэх, аль процесс түүнийг эзэмшиж байгааг харуулна. Мөр байхгүй нь мөрдөн шалгалтыг сүлжээнд биш, гарцын тохиргоонд дуусгана.
Хэрэв сокет байвал, клиент талаас таамаглахын оронд гар барилтыг ажигла: tcpdump -ni any 'tcp port 4500'. Дууссан гурван талын гар барилтын дараах чимээгүй байдал нь урсгалыг хүлээн авч, доторх IKE солилцоо бүтэлгүйтсэнийг илтгэнэ, харин хариултгүй SYN нь шүүлт эсвэл буруу хаяг руу заана.
Хоёулыг андуурахгүйн тулд мөнөөх бичлэгийн цонхонд UDP замтай харьцуул: tcpdump -ni any 'udp port 4500 or proto 50'. TCP ашиглагдаж байна гэж бодож байхдаа 50 протокол эсвэл UDP 4500 порт дээр урсгал байгаа нь хоёр тал нөөц сонголтын талаар хэзээ ч тохиролцоогүйг илтгэнэ. Боломжтой бол гарц дээр ч бичлэг хий, учир нь клиент талын бичлэг алслагдсан тал юу илгээснийг харуулж чадахгүй.
Дөрвөн тусдаа үеээр хүлээн ав
Босох үйлдлийг дөрвөн үр дүн гэж үз. Тус бүр өөр шалтгаанаар бүтэлгүйтэж болох бөгөөд ганц тэнцсэн эсвэл бүтэлгүйтсэн нь аль нь байсныг нуудаг тул бүтэлгүйтсэн эхний үед зогсоод дээрээс дахин эхэл.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Дөрөвдүгээр үе бол алгасагддаг үе юм. Одоо байгаа сесс кэшлэсэн төлөв дээр үргэлжлүүлэн ажиллаж болох тул өөрчлөлтийг хаахаас өмнө гарцын ард байгаа хост руу шинэ холболт нээ. Хоёр дахь үе бүтэлгүйтэж, эхнийх нь тэнцвэл зөрүү нь санал эсвэл инкапсуляцийн тохиргоонд байна, галт хананд биш.
Буцаах, мөн үүнийг асаалттай үлдээх зардал
Өөрчлөлтөөс өмнө буцаахыг төлөвлө: инкапсуляцийн сонголтыг хоёр талд унтрааж, туннель UDP-ээр буцаж байгааг батал. Нөөц сонголт дахин хэрэгтэй болвол TCP дүрмийг нэг хяналтын мөчлөгт үлдээгээд дараа нь устга. 4500 дээрх ашиглагдаагүй сонсогч нь үйл ажиллагааны үнэ цэнэгүй гадаргуу юм.
Бодит ажил зөөж эхлэхэд гүйцэтгэлийн шинжийг ажигла. TCP-ийн доторх TCP нэг алдагдалд гацдаг баталгаажуулалтын давхарга нэмдэг бөгөөд нэг холболтыг хуваалцсан урсгалууд бие биенээ хааж болох тул ping биш, туннель ашиглах програмыг хэмж.
Хүлээн авах жагсаалт
Хоёр талд боломжийн нэр, хувилбар, хариу үйлдэгч талын сонсогч, дууссан гар барилтыг харуулсан бичлэг, цагийн тэмдэгтэй бүртгэсэн дөрвөн үеийг батал. Дараагийн инженер TCP яагаад байгааг мэдэхийн тулд өөрчлөлтийн бүртгэлд нөөц сонголтын шалтгааныг нэм. Хэрэгтэй болохоос өмнө буцаахыг давт.
Аль нэг үе бүтэлгүйтвэл зөвхөн тэр үеийг зас. Тээврийн асуудлыг мөшгихийн тулд шифрийн багц эсвэл таних тохиргоог өөрчлөх нь ихэвчлэн эхний дээр хоёр дахь, хамааралгүй алдааг нэмдэг.