IKEv2 juża UDP 500 u 4500: liema minnhom iġorr id-data?

Li tiftaħ UDP 500 fil-firewall iħalli t-tunnel jinnegozja, u mbagħad il-konnessjoni tieqaf tgħaddi t-traffiku. Il-lista tal-ports kienet mhux sħiħa, mhux ħażina. IKEv2 jibda fuq socket wieħed u f'ħafna skjeramenti reali jkompli fuq ieħor, filwaqt li l-payload jista' lanqas ikun port. Il-qari tal-fażijiet bl-ordni jispjega liema regola hija nieqsa.

Żewġ ports, żewġ xogħlijiet

IKEv2 jibda bi skambju ta' ċwievet fuq UDP 500, fejn il-partijiet jawtentikaw ruħhom u jistabbilixxu assoċjazzjoni tas-sigurtà għat-tunnel. It-triq tad-data li ssegwi hija kwistjoni separata: tista' tkun ESP nattiv, li huwa numru tal-protokoll IP u mhux port, jew traffiku inkapsulat fl-UDP fuq 4500. Li żżomm dawn separati f'reviżjoni tal-firewall hija d-differenza bejn tunnel li jinnegozja u tunnel li jaħdem. Socket wieħed iġorr il-kontroll u l-ieħor il-payload.

Għalhekk regola li tippermetti biss 500 tipproduċi l-aktar sintomu konfuż fil-familja kollha tal-protokoll: in-negozjati jirnexxu u ma jsegwi xejn utli. L-istat juri peer, il-log juri IKE SA stabbilit, u l-applikazzjoni xorta tispiċċa fi timeout. Il-permess nieqes jappartjeni għal fluss differenti minn dak li għadu kif irnexxa.

Għaliex 4500 teżisti xejn

Ħafna apparati NAT ma jistgħux jgħaddu protokoll ieħor ħlief TCP jew UDP, u xi wħud jerġgħu jiktbu l-indirizzi b'modi li jkissru l-verifika tal-integrità tal-ESP. L-inkapsulament tal-ESP fl-UDP issolvi ż-żewġ problemi, bi prezz ta' header addizzjonali u tieni port li jrid jiġi permess. Dak l-inkapsulament huwa r-raġuni għaliex it-tieni port teżisti xejn.

Ladarba jinqabad NAT, IKE stess jgħaddi wkoll għal 4500 sabiex it-traffiku kollu jaqsam triq waħda minn ġol-ġġarrif. Markatur ta' erba' bytes li mhuwiex ESP jiddistingwi messaġġi ta' kontroll mid-data fuq dak is-socket. Il-bidla hija deċiżjoni tal-protokoll, mhux preferenza tal-amministratur.

Fejn jinbidel il-port tas-sors

Ġġarrif jista' jerġa' jikteb il-port tas-sors tal-klijent, għalhekk it-tuple li jidher fis-server ma jaqbilx mat-tuple fuq il-klijent. Ħares lejn iż-żewġ naħat ta' kull qabża NAT qabel ma tikkonkludi li regola qed tiġi injorata. Is-soluzzjoni tal-problemi biss fuq il-klijent tista' tagħti regola li tidher korretta u xorta tfalli.

Implimentazzjonijiet b'appoġġ għal MOBIKE jistgħu wkoll jgħaddu għal 4500 mingħajr NAT ma jinqabad, u xi skjeramenti jisfurzaw dik it-triq deliberatament. Għalhekk li tara 4500 hija evidenza ta' deċiżjoni, mhux prova ta' router tad-dar.

Iċċekkja ż-żewġ flussi f'kull fruntiera

Għaddi mit-tliet fruntieri: in-netwerk tal-klijent, kwalunkwe firewall intermedju, u s-server. Kull wieħed jeħtieġ il-flussi li jiddokumenta l-iskjerament, mhux il-flussi minn artiklu dwar każ ieħor.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Il-linja ESP f'lista tal-firewall hija qbil ta' protokoll, għalhekk regola tal-port qatt ma tkopriha. Jekk l-operatur juża port personalizzat, segwi l-konfigurazzjoni dokumentata fiż-żewġ trufijiet, għax klijent ma jistax joħloq semmiegħ fuq is-server billi jagħżel numru familjari.

Irreġistra fejn waqfet in-negozjati u jekk ġietx installata assoċjazzjoni tas-sigurtà tifel, għax dak il-par jifred triq imblukkata minn żball ta' awtentikazzjoni jew ta' politika. Imbagħad erġa' għamel it-test b'verifika tas-server attivata, għax l-aċċessibilità mhijiex awtentikazzjoni. Dak l-aħħar pass jifred port permess minn peer affidabbli.