Għaliex L2TP/IPsec jeħtieġ UDP 1701 flimkien ma' IPsec

Il-firewalls li jippermettu IKE u ESP imma mhux UDP 1701 jaqtgħu l-konnessjonijiet L2TP b'mod li jidher bħal problema tal-kredenzjali. Ir-raġuni hi li L2TP huwa t-tieni protokoll li jivvjaġġa ġewwa l-ewwel wieħed. IPsec iġorr u jawtentika l-iskambju, u L2TP iħaddem it-tunnel tiegħu stess fuq UDP 1701, li l-munzell lokali xorta jrid iwassal. Li tkun taf fejn jidher kull intestatura jispjega liema apparat għandu bżonn liema regola.

Żewġ protokolli, żewġ settijiet ta' ports

Konnessjoni L2TP/IPsec tuża IKE fuq UDP 500, qbiż tan-NAT fuq UDP 4500 fejn hemm traduzzjoni, u ESP bħala protokoll IP 50 fejn ma hemmx. L2TP innifsu huwa protokoll tat-tunnel fuq UDP 1701, u jaħdem wara li IPsec jawtentika lill-pari. Iż-żewġ nofsijiet ifallu b'mod differenti, u l-linji tal-log li jirrappurtaw dwarhom ġejjin minn komponenti differenti. Sett ta' regoli li jkopri biss l-ewwel nofs jipproduċi konnessjoni li tinnegozja u mbagħad tmut fil-fażi tat-tunnel.

In-numri tal-port jiddeskrivu punti tat-tarf tat-trasport, u ESP mhuwiex port xejn. Huwa għalhekk li interface tal-firewall li toffri biss regoli TCP u UDP ma tistax tesprimi politika IPsec sħiħa. Il-protokoll 50 irid jiġi permess bħala protokoll, u regola li ssemmi biss UDP qatt mhi se taqbel miegħu.

L-involukru jispjega l-port

Fuq il-wajer, konnessjoni L2TP/IPsec normalment turi IKE fuq 500 u ESP inkapsulat fuq 4500. L-intestatura UDP 1701 tinsab ġewwa l-load protett, u għalhekk qabda fuq l-interface ta' barra ma turihiex. L-host lokali xorta jrid iwassal dik id-datagramma lid-daemon L2TP, u l-kunsinna sseħħ wara d-dekapsulazzjoni. Għalhekk ir-regola 1701 tappartjeni għall-firewall tal-punt tat-tarf innifsu, anki meta ebda apparat intermedju qatt ma jara l-port.

L-ordni tal-ipproċessar tispjega l-biċċa l-kbira tal-konfużjoni. Jekk il-munzell japplika l-politika IPsec qabel il-filtru tal-host, il-pakkett L2TP dekapsulat jiġi mqabbel bħala UDP 1701; jekk l-ordni tkun maqluba, il-ports ta' barra huma dak li jara s-sett tar-regoli. Iż-żewġ imġiba jeżistu fil-prattika, u għalhekk l-istess sett ta' regoli jidher li jaħdem fuq pjattaforma waħda u jfalli fuq oħra.

Ivverifika t-triq fl-ordni

Aqbad l-interface ta' barra l-ewwel u kkonferma li IKE u ESP inkapsulat qed jiċċaqalqu fiż-żewġ direzzjonijiet. Imbagħad iċċekkja l-kontaturi tal-firewall lokali għat-traffiku dekapsulat. L-ordni hija importanti, għax qabda li ma turi xejn tfisser li l-problema tinsab 'il fuq mill-host.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Il-qabda tikkonferma l-ewwel nofs tal-iskambju u turi jekk il-pari qed iwieġeb. Il-lista tar-regoli turi jekk teżistix regola tal-1701 u fejn tinsab fir-rigward ta' kwalunkwe politika ta' tfigħ. Il-lista tas-sockets tikkonferma li d-daemon L2TP huwa marbut u qed jisma', li teskludi servizz li qatt ma beda. Aqra t-tlieta qabel ma tibdel regola, għax semmiegħa nieqes u port iffiltrat jipproduċu l-istess ilmenti mill-utent.

X'ma tistax turi skanjar tal-ports

Skanjar estern ta' UDP 1701 kontra server ikkonfigurat sew normalment ma jirrapporta xejn, u dak huwa r-riżultat mistenni. Il-port mhuwiex espost għall-internet; jintlaħaq biss wara li IPsec jawtentika lill-pari. Li tittratta r-riżultat magħluq bħala ħsara jwassal biex tiftaħ port li għandu jibqa' magħluq. L-iskannjar ma jistax jara ġewwa t-tunnel daqs kemm ma jistax jara t-traffiku tal-applikazzjoni.

Ipprova minflok bi klijent veru, u aqra liema stadju jilħaq. Jekk il-konnessjoni tinnegozja u mbagħad tieqaf, id-daemon L2TP jew il-filtru lokali huwa s-suspettat; jekk qatt ma tinnegozja, il-ports ta' barra huma l-ħatja. Dik id-diviżjoni waħda tneħħi l-biċċa l-kbira tat-tbassir dwar liema regola għandha tiżdied, u s-saffi tal-protokoll jagħmluha prevedibbli minflok misterjuża.