IKEv2 ले UDP 500 र 4500 प्रयोग गर्छ: डेटा कुन पोर्टले बोक्छ?

फायरवालमा UDP 500 खोल्दा सुरुङले वार्ता गर्न पाउँछ, त्यसपछि जडानले ट्राफिक पठाउन छाड्छ। पोर्टको सूची अपूर्ण थियो, गलत होइन। IKEv2 एउटा सकेटमा सुरु भई धेरै वास्तविक तैनाथीमा अर्कोमा जारी रहन्छ, जबकि पेलोड पोर्ट नै नहुन सक्छ। चरणहरू क्रममा पढ्दा कुन नियम हराएको छ भन्ने थाहा हुन्छ।

दुई पोर्ट, दुई काम

IKEv2 UDP 500 मा कुञ्जी आदानप्रदानबाट सुरु हुन्छ, जहाँ दुवै पक्षले प्रमाणीकरण गरेर सुरुङका लागि सुरक्षा सङ्गठन स्थापना गर्छन्। त्यसपछिको डेटा बाटो छुट्टै विषय हो: त्यो पोर्ट नभएको IP प्रोटोकल नम्बर भएको मूल ESP हुन सक्छ, वा 4500 मा UDP भित्र बेरिएको ट्राफिक हुन सक्छ। फायरवाल समीक्षामा यी दुईलाई छुट्टाछुट्टै राख्नु नै वार्ता गर्ने सुरुङ र काम गर्ने सुरुङबीचको फरक हो। एउटा सकेटले नियन्त्रण बोक्छ र अर्कोले पेलोड।

त्यसैले केवल 500 लाई अनुमति दिने नियमले सम्पूर्ण प्रोटोकल परिवारमा सबैभन्दा भ्रमित लक्षण उत्पन्न गर्छ: वार्ता सफल हुन्छ र उपयोगी केही पनि हुँदैन। स्थितिले पियर देखाउँछ, लगले स्थापित IKE SA देखाउँछ, र अनुप्रयोग अझै समय सकिन्छ। हराएको अनुमति भर्खरै सफल भएको प्रवाहभन्दा फरक प्रवाहको हो।

4500 किन छ

धेरै NAT उपकरणले TCP वा UDP बाहेक अरू प्रोटोकल अगाडि पठाउन सक्दैनन्, र केहीले ठेगाना यसरी पुनर्लेखन गर्छन् कि ESP को अखण्डता जाँच भाँचिन्छ। ESP लाई UDP भित्र बेर्नाले दुवै समस्या समाधान हुन्छ, तर अतिरिक्त हेडर र अनुमति दिनुपर्ने दोस्रो पोर्टको भार पर्छ। त्यही बेर्नु नै दोस्रो पोर्ट हुनुको कारण हो।

NAT पत्ता लागेपछि IKE आफै पनि 4500 मा जान्छ ताकि सबै ट्राफिकले अनुवादकबाट एउटै बाटो साझा गरोस्। ESP नभएको चार बाइटको चिन्हले त्यो सकेटमा नियन्त्रण सन्देश र डेटा छुट्याउँछ। यो परिवर्तन प्रोटोकलको निर्णय हो, प्रशासकको रुचि होइन।

स्रोत पोर्ट कहाँ बदलिन्छ

अनुवादकले ग्राहकको स्रोत पोर्ट पुनर्लेखन गर्न सक्छ, त्यसैले सर्भरमा देखिने टुपल ग्राहकको टुपलसँग मिल्दैन। कुनै नियम बेवास्ता भइरहेको निष्कर्ष निकाल्नुअघि हरेक NAT हपको दुवै पक्ष हेर्नुहोस्। केवल ग्राहकमा समस्या खोज्दा सही देखिने तर फेरि असफल हुने नियम बन्न सक्छ।

MOBIKE समर्थन गर्ने कार्यान्वयनहरू NAT नभेटिए पनि 4500 मा जान सक्छन्, र केही तैनाथीले त्यो बाटो जानाजान लाद्छन्। त्यसैले 4500 देख्नु निर्णयको प्रमाण हो, घरायसी राउटरको प्रमाण होइन।

हरेक सीमामा दुवै प्रवाह जाँच्नुहोस्

तीन सीमा पार गर्नुहोस्: ग्राहक सञ्जाल, कुनै पनि मध्यस्थ फायरवाल र सर्भर। हरेकलाई तैनाथीले अभिलेख गरेको प्रवाह चाहिन्छ, अर्को अवस्थाबारे लेखको प्रवाह होइन।

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

फायरवाल सूचीको ESP लाइन प्रोटोकल मिलान हो, त्यसैले पोर्ट नियमले त्यसलाई कहिल्यै ढाक्दैन। यदि अपरेटरले अनुकूलित पोर्ट प्रयोग गर्छ भने दुवै छेउमा अभिलेखित कन्फिगरेसन पालना गर्नुहोस्, किनकि ग्राहकले चिनजानको नम्बर छानेर सर्भरमा श्रोता बनाउन सक्दैन।

वार्ता कहाँ रोकियो र बाल सुरक्षा सङ्गठन स्थापना भयो कि भएन अभिलेख गर्नुहोस्, किनकि यो जोडीले अवरुद्ध बाटोलाई प्रमाणीकरण वा नीति त्रुटिबाट अलग गर्छ। त्यसपछि सर्भर प्रमाणीकरण सक्रिय राखेर परीक्षण दोहोर्याउनुहोस्, किनकि पहुँच प्रमाणीकरण होइन। त्यो अन्तिम चरणले अनुमति दिइएको पोर्टलाई विश्वसनीय पियरबाट अलग गर्छ।