IKEv2 UDP 500 आणि 4500 वापरते: डेटा कोणता पोर्ट वाहतो?

फायरवॉलमध्ये UDP 500 उघडल्यास बोगदा बोलणी करू शकतो आणि नंतर कनेक्शन रहदारी पुढे पाठवणे थांबवते। पोर्टची यादी अपूर्ण होती, चुकीची नाही। IKEv2 एका सॉकेटवर सुरू होते आणि अनेक प्रत्यक्ष अंमलबजावणींमध्ये दुसऱ्यावर सुरू राहते, तर पेलोड पोर्टच नसू शकतो। टप्पे क्रमाने वाचल्यास कोणता नियम गायब आहे हे समजते।

दोन पोर्ट, दोन कामे

IKEv2 UDP 500 वर की देवाणघेवाणीने सुरू होते, जिथे दोन्ही बाजू स्वतःची पडताळणी करतात आणि बोगद्यासाठी सुरक्षा संलग्नता प्रस्थापित करतात। त्यानंतरचा डेटा मार्ग वेगळा विषय आहे: तो पोर्ट नसलेला IP प्रोटोकॉल क्रमांक असलेला मूळ ESP असू शकतो, किंवा 4500 वर UDP मध्ये गुंडाळलेली रहदारी असू शकते। फायरवॉल आढाव्यात हे दोन वेगळे ठेवणे म्हणजे बोलणी करणारा बोगदा आणि काम करणारा बोगदा यातील फरक। एक सॉकेट नियंत्रण वाहते आणि दुसरे पेलोड।

म्हणूनच केवळ 500 ला परवानगी देणारा नियम संपूर्ण प्रोटोकॉल कुटुंबात सर्वात गोंधळात टाकणारे लक्षण निर्माण करतो: बोलणी यशस्वी होते आणि उपयुक्त काहीही पुढे येत नाही। स्थिती एक सहकारी दाखवते, लॉग प्रस्थापित IKE SA दाखवतो, आणि तरीही ॲप वेळ संपते। गायब परवानगी नुकत्याच यशस्वी झालेल्या प्रवाहापेक्षा वेगळ्या प्रवाहाची आहे।

4500 अखेर का अस्तित्वात आहे

अनेक NAT उपकरणे TCP किंवा UDP व्यतिरिक्त इतर प्रोटोकॉल पुढे पाठवू शकत नाहीत, आणि काही पत्ते अशा प्रकारे पुन्हा लिहितात की ESP ची अखंडता तपासणी तुटते। ESP ला UDP मध्ये गुंडाळल्यास दोन्ही समस्या सुटतात, पण अतिरिक्त हेडर आणि परवानगी देण्याचा दुसरा पोर्ट लागतो। हेच गुंडाळणे दुसरा पोर्ट अस्तित्वात असण्याचे कारण आहे।

NAT आढळल्यावर IKE स्वतःही 4500 वर जाते जेणेकरून सर्व रहदारी अनुवादकातून एकच मार्ग सामायिक करेल। ESP नसलेले चार बाइटचे चिन्ह त्या सॉकेटवर नियंत्रण संदेशांना डेटापासून वेगळे करते। हा बदल प्रोटोकॉलचा निर्णय आहे, प्रशासकाची पसंती नाही।

स्रोत पोर्ट कुठे बदलतो

अनुवादक क्लायंटचा स्रोत पोर्ट पुन्हा लिहू शकतो, त्यामुळे सर्व्हरवर दिसणारा ट्युपल क्लायंटवरील ट्युपलशी जुळत नाही। नियम दुर्लक्षित होत आहे असा निष्कर्ष काढण्यापूर्वी प्रत्येक NAT उडीच्या दोन्ही बाजू पाहा। केवळ क्लायंटवर समस्या शोधल्यास बरोबर दिसणारा पण तरीही अयशस्वी होणारा नियम मिळू शकतो।

MOBIKE-सक्षम अंमलबजावणी NAT न आढळल्यासही 4500 वर जाऊ शकतात, आणि काही अंमलबजावणी तो मार्ग जाणीवपूर्वक लादतात। म्हणून 4500 दिसणे हा निर्णयाचा पुरावा आहे, घरगुती राउटरचा पुरावा नाही।

प्रत्येक सीमेवर दोन्ही प्रवाह तपासा

तीन सीमांमधून जा: क्लायंट नेटवर्क, कोणताही मध्यस्थ फायरवॉल आणि सर्व्हर। प्रत्येकाला अंमलबजावणीने नोंदवलेले प्रवाह हवे आहेत, दुसऱ्या प्रकरणाबद्दलच्या लेखातील प्रवाह नाहीत।

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

फायरवॉल यादीतील ESP ओळ प्रोटोकॉल जुळणी आहे, म्हणून पोर्ट नियम तिला कधीही व्यापत नाही। ऑपरेटर सानुकूल पोर्ट वापरत असल्यास दोन्ही टोकांवर नोंदवलेले कॉन्फिगरेशन पाळा, कारण ओळखीचा क्रमांक निवडून क्लायंट सर्व्हरवर श्रोता तयार करू शकत नाही।

बोलणी कुठे थांबली आणि बाल सुरक्षा संलग्नता स्थापित झाली का हे नोंदवा, कारण ही जोडी अडवलेला मार्ग पडताळणी किंवा धोरणातील त्रुटीपासून वेगळा करते। नंतर सर्व्हर पडताळणी सुरू ठेवून चाचणी पुन्हा करा, कारण पोहोच ही पडताळणी नाही। तो शेवटचा टप्पा परवानगी दिलेला पोर्ट विश्वासार्ह सहकारीपासून वेगळा करतो।