IKE fuq TCP 4500: iċċekkja ż-żewġ trufijiet qabel ir-regola tal-port
L-inkapsulament TCP jiġi nnegozjat miż-żewġ trufijiet, mhux mogħti minn regola tal-firewall. Mexxi l-verifika tas-semmiegħa, il-qbid u l-erba' stadji ta' aċċettazzjoni fl-ordni.
It-tickets ta' appoġġ spiss jaslu meta l-bidla fil-firewall tkun diġà approvata u t-tunnel għadu ma jixtieqx jogħla. Dan huwa r-riżultat mistenni meta t-tarf wieħed biss ikollu l-funzjoni: l-inkapsulament TCP skont RFC 9329 irid jiġi implimentat u kkonfigurat fiż-żewġ trufijiet, u l-ftehim iseħħ ġewwa l-konnessjoni qabel ma tista' tmovja xi traffiku protett. Il-ftuħ ta' port jirreklama semmiegħa li jista' ma jkunx hemm, u semmiegħa mingħajr il-konfigurazzjoni ta' tqabbil fuq in-naħa l-oħra jaċċetta konnessjoni u mbagħad jiskot. L-ordni hawn taħt tqiegħed il-verifiki rħas l-ewwel.
Kun af x'verament iżżid l-għażla
IPsec indiġenu jġorr tagħbijiet utli ċċifrati bħala protokoll IP 50, mingħajr numru tal-port x'jiġi permess. NAT traversal jgeżwer dawk il-pakketti f'UDP lejn il-port 4500, u huwa għalhekk li tant regoli tal-firewall isemmu dak il-port. RFC 9329 iżżid rappreżentazzjoni tal-fluss: pakketti IKE u IPsec it-tnejn jivvjaġġaw ġewwa konnessjoni TCP waħda, normalment lejn il-port 4500.
Il-fluss mhuwiex servizz tal-web. Konnessjoni TCP lejn 4500 ma tgħid xejn dwar HTTP, TLS jew ħbiberija mal-proxy, u proxy HTTP fit-triq normalment ikisser l-inkwadrar minflok ma jġorru.
Verifika minn qabel qabel ma tmiss il-firewall
L-istandard iqiegħed TCP bħala rikors għan-netwerks li jwarrbu t-triq UDP, mhux bħala sostitut tagħha. Ġib żewġ fatti mingħand kull fornitur: l-isem eżatt tal-funzjoni u l-verżjoni li timplimenta RFC 9329 minflok varjant proprjetarju. Tikketti bħal IPsec over TCP intużaw għal disinji mhux relatati, għalhekk itlob ir-referenza tad-dokument u l-muftieħ tal-konfigurazzjoni li jixgħelha. Mingħajr it-tweġibiet it-tnejn, tassumi xejn dwar il-kompatibilità fuq il-wajer.
Ipprova dan f'laboratorju fejn iż-żewġ trufijiet huma tiegħek. Gateway li jwieġeb fuq TCP 4500 imma qatt ma jlesti IKE huwa s-sinjal ta' semmiegħa mingħajr l-inkapsulament ta' tqabbil fuq in-naħa l-oħra, u li ssib dan hemmhekk huwa ferm irħas milli waqt tieqa ta' bidla.
Fuq min iwieġeb: xi ħaġa qed tisma'
Ibda mis-socket. ss -ltnp | grep 4500 juri jekk hemmx semmiegħa TCP u liema proċess jippossjedih. In-nuqqas ta' linja jtemm l-investigazzjoni fil-konfigurazzjoni tal-gateway u mhux fin-netwerk.
Jekk is-socket hemm, osserva l-handshake minflok taqta' x'hemm min-naħa tal-klijent: tcpdump -ni any 'tcp port 4500'. Handshake bi tliet direzzjonijiet komplut u mbagħad skiet ifisser li l-fluss ġie aċċettat u l-iskambju IKE fih falla, filwaqt li SYN mingħajr tweġiba jindika filtrazzjoni jew indirizz ħażin.
Qabbel mat-triq UDP fl-istess tieqa tal-qbid sabiex it-tnejn ma jiġux konfużi: tcpdump -ni any 'udp port 4500 or proto 50'. Traffiku fuq protokoll 50 jew port UDP 4500 waqt li taħseb li qed jintuża TCP ifisser li ż-żewġ trufijiet qatt ma qablu dwar ir-rikors. Aqbad ukoll fuq il-gateway jekk tista', għax qbid min-naħa tal-klijent ma jistax juri x'bagħat it-tarf fil-bogħod.
Aċċetta f'erba' stadji separati
Ittratta t-tlugħ bħala erba' riżultati. Kull wieħed jista' jonqos għal raġuni differenti, u għaddija jew falliment wieħed jaħbi liema kien, għalhekk waqaf fl-ewwel stadju li jonqos u erġa' ibda mill-bidu.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Ir-raba' stadju huwa dak li jiġi mqabbeż. Sessjoni eżistenti tista' tkompli taħdem fuq stat fil-cache, għalhekk iftaħ konnessjoni ġdida lejn host wara l-gateway qabel ma tagħlaq il-bidla. Jekk it-tieni stadju jonqos waqt li l-ewwel jgħaddi, id-differenza tinsab fil-proposta jew fil-konfigurazzjoni tal-inkapsulament, mhux fil-firewall.
Ritratti lura, u l-ispiża li titħalla mixgħula
Ippjana t-treġġigħ lura qabel il-bidla: itfi l-għażla tal-inkapsulament fiż-żewġ trufijiet u kkonferma li t-tunnel jerġa' lura permezz ta' UDP. Żomm ir-regola TCP għal ċiklu ta' reviżjoni wieħed f'każ li r-rikors jerġa' jkun meħtieġ, imbagħad neħħiha. Semmiegħa mhux użat fuq 4500 huwa superfiċje mingħajr ebda valur operattiv.
Osserva s-sinjal tal-prestazzjoni ladarba jġorr xogħol reali. TCP ġewwa TCP iżid saffi ta' konferma li jieqfu fuq telf wieħed, u flussi li jaqsmu konnessjoni waħda jistgħu jimblukkaw lil xulxin, għalhekk kejjel l-applikazzjoni li se tuża t-tunnel minflok ping.
Lista tal-aċċettazzjoni
Ikkonferma l-isem u l-verżjoni tal-funzjoni fiż-żewġ trufijiet, is-semmiegħa fuq min iwieġeb, il-qbid li juri handshake komplut, u l-erba' stadji rreġistrati b'timbri tal-ħin. Żid ir-raġuni tar-rikors mar-rekord tal-bidla sabiex l-inġinier li jmiss ikun jaf għaliex hemm TCP. Ipprattika r-ritratt lura qabel ma tkun teħtieġu.
Jekk xi stadju jonqos, sewwi biss dak l-istadju. Il-bidla tas-suite taċ-ċifrar jew tal-konfigurazzjonijiet tal-identità biex tiġri wara problema tat-trasport normalment iżżid telfien it-tieni, mhux relatat fuq l-ewwel.