L2TP/IPsec-д IPsec-ээс гадна UDP 1701 яагаад хэрэгтэй вэ

IKE болон ESP-д зөвшөөрөл өгч, UDP 1701-д өгөхгүй галт ханын системүүд L2TP холболтыг итгэмжлэлийн асуудал мэт харагдах байдлаар тасалдаг. Учир нь L2TP нь эхнийх дотор аялдаг хоёр дахь протокол юм. IPsec нь солилцоог зөөж, баталгаажуулдаг бол L2TP нь UDP 1701 дээр өөрийн туннелийг ажиллуулдаг бөгөөд орон нутгийн стек үүнийг хүргэх ёстой хэвээр байна. Толгой бүр хаана гарч ирдэггүйг мэдэх нь аль төхөөрөмжид аль дүрэм хэрэгтэйг тайлбарладаг.

Хоёр протокол, хоёр портын багц

L2TP/IPsec холболт нь UDP 500 дээр IKE, орчуулга байгаа газарт UDP 4500 дээр NAT дамжуулалт, байхгүй газарт IP протокол 50 хэлбэрээр ESP ашигладаг. L2TP өөрөө UDP 1701 дээрх туннель протокол бөгөөд IPsec түншийг баталгаажуулсны дараа ажилладаг. Хоёр хагас нь өөр өөрөөр бүтэлгүйтдэг бөгөөд тэдний тухай мэдээлдэг лог мөрүүд өөр өөр бүрэлдэхүүн хэсгээс ирдэг. Зөвхөн эхний хагасыг хамарсан дүрмийн багц нь хэлэлцээр хийгээд дараа нь туннелийн шатанд үхдэг холболт үүсгэдэг.

Портын дугаарууд нь тээврийн төгсгөлийн цэгүүдийг дүрсэлдэг бөгөөд ESP нь огт порт биш юм. Тиймээс зөвхөн TCP болон UDP дүрэм санал болгодог галт ханын интерфэйс бүрэн IPsec бодлогыг илэрхийлж чадахгүй. 50-р протоколыг протокол хэлбэрээр зөвшөөрөх ёстой бөгөөд зөвхөн UDP-г дурдсан дүрэм түүнтэй хэзээ ч тохирохгүй.

Бүрхүүл нь портыг тайлбарладаг

Сүлжээнд L2TP/IPsec холболт ихэвчлэн 500 дээр IKE, 4500 дээр боодолтсон ESP-г харуулдаг. UDP 1701 толгой нь хамгаалагдсан ачааллын дотор байрладаг тул гадаад интерфэйс дээрх бариулт үүнийг харуулдаггүй. Орон нутгийн хост тэр датаграмыг L2TP демонд хүргэх ёстой хэвээр бай бөгөөд хүргэлт нь капсул задсаны дараа болдог. Тиймээс 1701 дүрэм нь төгсгөлийн цэгийн өөрийн галт хананд хамаарна, ямар ч завсрын төхөөрөмж портыг хэзээ ч харахгүй байсан ч.

Боловсруулалтын дараалал нь төөрөгдлийн ихэнхийг тайлбарладаг. Хэрэв стек IPsec бодлогыг хостын шүүлтүүрээс өмнө хэрэглэвэл капсул задагдсан L2TP пакет UDP 1701 гэж тохирно; дараалал эсрэг байвал гадаад портууд нь дүрмийн багцын харж буй зүйл юм. Хоёр зан үйл практикт байдаг тул ижил дүрмийн багц нэг платформ дээр ажиллаж, нөгөө дээр бүтэлгүйтдэг мэт харагддаг.

Замыг дарааллаар нь шалгаарай

Эхлээд гадаад интерфэйсийг бариулж, IKE болон боодолтсон ESP хоёр чиглэлд хөдөлж байгааг баталгаажуулна уу. Дараа нь капсул задагдсан урсгалын хувьд орон нутгийн галт ханын тоолуурыг шалгана уу. Дараалал чухал, учир нь юу ч харуулахгүй бариулт нь асуудал хостоос дээгүүр байгааг илэрхийлнэ.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Бариулт нь солилцооны эхний хагасыг баталгаажуулж, түнш хариулж байгаа эсэхийг харуулна. Дүрмийн жагсаалт нь 1701 дүрэм байгаа эсэх, ямар ч хаях бодлоготой харьцуулахад хаана байрлаж байгааг харуулна. Сокетын жагсаалт нь L2TP демон холбогдож, сонсож байгааг баталгаажуулж, хэзээ ч эхлээгүй үйлчилгээг хасана. Дүрэм өөрчлөхөөс өмнө гурвыг уншина уу, учир нь сонсогч байхгүй байх, шүүгдсэн порт нь хэрэглэгчээс ижил гомдол гаргадаг.

Порт скайнер юу харуулж чадахгүй вэ

Зөв тохируулсан серверт чиглэсэн UDP 1701-ийн гадаад скан нь ихэвчлэн юу ч мэдээлдэггүй бөгөөд энэ нь хүлээгдэж буй үр дүн юм. Порт нь интернетэд нээлттэй биш; зөвхөн IPsec түншийг баталгаажуулсны дараа л хүрч болно. Хаалттай үр дүнг гэмтэл гэж үзэх нь хаалттай байх ёстой портыг нээхэд хүргэдэг. Скан нь апп-ийн урсгалыг харж чадахгүй шигээ туннелийн дотрыг харж чадахгүй.

Үүний оронд бодит клиентээр туршиж, аль шатанд хүрдэг болохыг уншаарай. Хэрэв холболт хэлэлцээд дараа нь гацвал L2TP демон эсвэл орон нутгийн шүүлтүүр сэжигтэй; хэзээ ч хэлэлцэхгүй бол гадаад портууд буруутай. Тэр нэг хуваалт нь аль дүрэм нэмэх тухай таамаглалын ихэнхийг арилгаж, протоколын давхаргалал нь үүнийг нууцлаг биш, урьдчилан таамаглахуйц болгодог.