ESP huwa l-protokoll IP 50, mhux il-port TCP 50: x'għandu jiġi permess
In-numri tal-protokoll u n-numri tal-port huma spazji tal-ismijiet differenti. Regola għall-port TCP 50 ma tippermetti xejn, u n-NAT traversal iċċaqlaq ESP għal UDP 4500.
Il-formoli tal-firewall jitolbu port TCP, u d-dħul ovvju huwa 50. Dan id-dħul ma jippermetti xejn, għax ESP huwa l-protokoll IP numru 50 u n-numri tal-protokoll mhumiex ports. Iż-żewġ spazji tal-ismijiet jaqsmu numri sħiħ żgħar u xejn aktar, u l-iżball jibqa' inviżibbli sakemm IKE jispiċċa u t-traffiku protett qatt ma jasal.
Żewġ spazji tal-ismijiet li jaqsmu numri żgħar
Intestatura IP ġġorr qasam tal-protokoll li jsemmi x'jiġi wara: 6 għal TCP, 17 għal UDP, 1 għal ICMP, 50 għal ESP, 51 għal AH. Intestatura TCP jew UDP ġġorr numri tal-port, li jagħżlu proċess fuq il-host tad-destinazzjoni. Il-protokoll 50 u l-port TCP 50 huma valuri mhux relatati, iżda kaxxa tad-djalogu tista' tagħmilhom jidhru li jistgħu jiġu skambjati.
Għalhekk regola tal-ġestjoni tal-ports ma tistax tesprimi ESP nattiv. M'hemmx port tad-destinazzjoni ESP x'jiġi mgħoddi, u apparat li jifhem biss regoli tal-ports m'għandux lingwaġġ għal dak il-pakkett. Ir-regola korretta issemmi l-protokoll IP minflok. Kwalunkwe djalogu tal-port huwa l-għodda żbaljata għal dak il-pakkett.
Il-konfużjoni għandha nofs ieħor. Meta l-pakkett ikun encryptat, kollox ġo fih huwa opak, inkluża l-intestatura TCP tal-konnessjoni oriġinali. Firewall li jeżamina l-ports f'dak il-pakkett qed iħares lejn l-intestatura ta' barra, li fil-każ nattiv m'għandhiex ports x'jeżamina.
ESP nattiv, imbagħad l-alternattiva inkapsulata
ESP nattiv jinġarr direttament bħala protokoll IP, li huwa daqstant effiċjenti u daqstant skomdu. Effiċjenti għax m'hemmx intestatura addizzjonali, u skomdu għax ebda apparat li jittraduċi indirizzi u ports ma jista' jsegwih. In-NAT traversal jeżisti biex issolvi dan, billi jgeżwer il-pakkett ESP ġewwa UDP sabiex it-traduttur ikollu ports x'jikteb mill-ġdid.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Iż-żewġ forom huma skjeramenti alternattivi tal-istess kanal tad-data, mhux saffi ta' wieħed. Li tippermetti ESP nattiv ma jippermettix il-forma inkapsulata, u li tippermetti UDP 4500 ma jippermettix traffiku nattiv, għalhekk sett ta' regoli għandu jaqbel mal-iskjerament minflok ma jkopri t-tnejn b'aċċident.
Is-sejbien huwa importanti hawn ukoll. Il-punti tat-tarf jiddeċiedu bejn il-forom waqt in-negozjati, u l-bidla sseħħ normalment meta jinstab NAT bejniethom. Għalhekk triq li tinbidel wara li jinbena t-tunnel tista' ċċaqlaq it-traffiku fi spazju tal-ismijiet li r-regoli tiegħek qatt ma koprew.
Aqra liema forma l-konnessjoni tassew tuża
Staqsi lill-punt tat-tarf minflok taqta' bl-addoċċ mill-firewall. Fuq Linux l-entrata tal-istat tirrapporta jekk l-assoċjazzjoni tużax inkapsulament UDP u liema ports huma involuti. Qabda ta' pakketti twieġeb l-istess mistoqsija mill-wajer, u t-tnejn huma aktar mgħaġġla milli taqra sett ta' regoli u tittama.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'L-ewwel kmand juri tip ta' inkapsulament meta jintuża n-NAT traversal u xejn meta ma jintużax. It-tieni juri liema miż-żewġ forom tassew tgħaddi mill-interface, u dan itemm argumenti dwar konfigurazzjoni li tidher tajba fuq il-karta.
Il-prova kuntrarja tappartjeni għall-istess pass. Regola li tirrapporta żero qbil tgħidlek li l-pakkett qatt ma wasal għaliha, u din hija kwistjoni ta' routing jew selettur, mhux ta' firewall.
Imbagħad ikkonferma l-kanal ta' kontroll b'mod separat. IKE għandu l-ports tiegħu u r-reġistri tiegħu, u negozjar komplut mingħajr data huwa eżattament id-diviżjoni li dwarha jitkellem dan l-artiklu.
Ikteb ir-regola fl-ispazju tal-ismijiet it-tajjeb
Regola tal-protokoll u regola tal-port huma istruzzjonijiet differenti, għalhekk l-għodda trid tesprimi dik li trid. F'nftables it-tqabbil tal-protokoll huwa espliċitu, u l-alternattiva inkapsulata tieħu r-regola UDP tagħha. Żomm iż-żewġ regoli ħdejn xulxin sabiex il-par ikun viżibbli fir-reviżjoni.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptTirreżistix it-tentazzjoni li twessa' xi waħda mir-regoli biex tikkumpensa dijanjosi ħażina. Li tippermetti kollox għall-protokoll ESP fuq kull interface, jew permess UDP minn kullimkien għal kullimkien, isewwi sintomu u jneħħi l-kontroll li kont qed tipprova tikkonfigura. Il-fluss dojoq appoġġjat kważi dejjem biżżejjed ladarba l-forma tkun magħrufa.
Fl-aħħar, żomm is-saffi dritti meta t-tunnel jaħdem u l-applikazzjoni le. Il-pakketti li jaslu fil-gateway għadhom jeħtieġu trażmissjoni, rotta lura u politika li tammettihom, u xejn minn dan mhuwa espress b'regola ESP. Il-port nieqes jispjega falliment speċifiku, mhux kull falliment tal-IPsec. Żomm it-tiswija tar-regola u l-verifika tar-routing bħala żewġ konklużjonijiet separati.
Irreġistra l-forma li osservajt, ir-regola tal-protokoll li żidt u l-counter li rajt wara. Tliet linji, u l-persuna li jmiss tista' tiddistingwi żball fl-ispazju tal-ismijiet minn żball fir-routing f'minuta minflok f'wara nofsinhar.