Protokoll 47 kontra port TCP 47: żewġ intestaturi, żewġ regoli

Netwerks tal-lukandi u firewalls tal-konferenzi spiss juru kaxxa ta' permess apposta, u xi ħadd jikteb 47 fiha bit-tama li PPTP jaħdem. Ir-regola tinħoloq, it-tunnel xorta jfalli, u l-prova li jmiss tuża numru differenti. L-iżball jinsab fil-pakkett stess: IPv4 għandu qasam tal-protokoll li jsemmi x'ġej wara l-intestatura IP, filwaqt li TCP u UDP għandhom qsami tal-port li jeżistu biss meta tkun ġewwa waħda minn dawk l-intestaturi. Mhumiex żewġ ortografiji tal-istess permess.

L-intestatura IPv4 issemmi l-protokoll li jmiss

Il-qasam tal-protokoll huwa byte wieħed fl-intestatura IPv4, u jżomm numru li jiddeskrivi l-payload: 6 għal TCP, 17 għal UDP, 47 għal GRE, 50 għal ESP. Kull ma jiffiltra pakketti jaqra dak il-valur qabel ma jħares aktar fil-fond, għax l-intestatura aktar fil-fond għandha sens biss ladarba t-tip ikun magħruf. Ibdel port aktar tard fil-konversazzjoni, u dan il-qasam ma ċċaqlaqx.

Għalhekk regola miktuba kontra l-protokoll 47 tiddeskrivi s-saff IP. L-ebda port ma jieħu sehem fid-deċiżjoni xejn.

Il-portijiet jeżistu ġewwa TCP u UDP, imkien ieħor

Il-portijiet huma identifikaturi ta' sittax-il bit ġewwa l-intestaturi TCP u UDP, u xogħolhom huwa li jifirdu konversazzjonijiet li jaqsmu indirizz wieħed. Intestatura GRE ġġorr valur tat-tip tal-protokoll, spiss EtherType, flimkien ma' ċwievet fakultattivi għall-multiplexing. Għalhekk il-frażi port 47 ma ssemmi xejn li pakkett GRE jista' jaqbel miegħu.

L-interfaċċi tal-firewall ivarjaw f'kemm juru minn dan. Uħud jaċċettaw numru tal-protokoll, uħud joffru lista bl-ismijiet, u ftit jaċċettaw biss TCP jew UDP bil-portijiet.

PPTP juża ż-żewġ saffi fl-istess ħin

PPTP huwa l-eżempju l-aktar ċar għax jaqsam ix-xogħol tiegħu bejn it-tnejn b'mod deliberat. Il-konnessjoni tal-kontroll hija sessjoni TCP lejn il-port 1723, u t-triq tad-data hija GRE, protokoll 47, mingħajr ebda port involut imkien. Firewall li jippermetti 1723 u xejn ieħor iħalli n-negozjati jibdew u mbagħad jarmi l-payload. It-tunnel jidher imdendel wara l-awtentikazzjoni minflok ma jfalli jikkonnettja, u għalhekk is-sintomu spiss jiġi rrappurtat bħala problema tal-password.

Aqra ż-żewġ ringieli separatament meta tikteb ir-regola, u vverifika kull waħda mal-kompila tal-fornitur. Ringiela waħda teħtieġ port, l-oħra teħtieġ numru tal-protokoll, u l-ebda entrata waħda ma tkopri t-tnejn.

Għaliex paġna tal-port forwarding ma tistax tesprimi GRE

Formola tal-forwarding li taċċetta biss TCP u UDP ma tistax tiddeskrivi GRE, tkun xi tkun l-isem tal-formola. It-traduzzjoni tal-indirizzi żżid it-tieni diffikultà, għax GRE m'għandux portijiet u t-traduttur irid isegwi minflok l-identifikatur tas-sejħa. Xi routers tal-konsumatur jiġu b'għajnuna li tittratta dan; ħafna ma jiġux, u l-ebda entrata addizzjonali tal-permess TCP ma toħloq dak l-imġiba.

Fejn tunnel modern huwa l-ħtieġa vera, agħżel disinn li juża TCP jew UDP b'mod deliberat minflok ma tittama li traduttur jaqta' sew.

L-inkapsulament jiddeċiedi x'jara l-filtru

L-inkapsulament ibiddel il-pakkett ta' barra, u l-pakkett ta' barra huwa dak li regola taqbel miegħu. ESP nattiv huwa protokoll 50, filwaqt li l-qsim tan-NAT jgeżwer ESP ġewwa UDP 4500 biex jibqa' ħaj mit-traduzzjoni tal-indirizzi. Filtru li jippermetti UDP 4500 qatt ma jara l-protokoll 50, u filtru miktub għall-protokoll 50 qatt ma jaqbel mal-forma mgeżwra.

Staqsi liema inkapsulament qablu l-klijent u l-gateway, imbagħad ikteb ir-regola għal dik il-forma ta' barra u xejn aktar.

Ikteb ir-regola sabiex xi ħadd ikun jista' jivverifikaha

Esprimi kull regola bħala familja tal-indirizzi, protokoll ta' barra, portijiet tat-trasport jekk hemm, direzzjoni u t-tnejn trufijiet. Reviżur jista' jqabbel dik is-sentenza ma' qbid tal-pakketti u jasal għal verdett. Struzzjoni biex tiftaħ 47 ħadd ma jista' jivverifikaha, u hekk tgħix għal snin fi ktieb tal-proċeduri.

Żid it-test li jipprova dan: ikkonnettja waqt li taqbad fuq l-interfaċċa ta' barra, u kkonferma l-protokoll u l-port ta' barra li fil-fatt jidhru fit-traċċa.