TCP ਉੱਤੇ IKE 4500: ਪੋਰਟ ਨਿਯਮ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਸਿਰੇ ਜਾਂਚੋ
TCP ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਦੋਵੇਂ ਸਿਰੇ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ, ਫਾਇਰਵਾਲ ਨਿਯਮ ਇਹ ਨਹੀਂ ਦਿੰਦਾ। ਲਿਸਨਰ ਜਾਂਚ, ਕੈਪਚਰ ਅਤੇ ਚਾਰ ਪ੍ਰਵਾਨਗੀ ਪੜਾਅ ਕ੍ਰਮ ਵਿੱਚ ਚਲਾਓ।
ਸਹਾਇਤਾ ਟਿਕਟਾਂ ਅਕਸਰ ਤਦ ਆਉਂਦੀਆਂ ਹਨ ਜਦੋਂ ਫਾਇਰਵਾਲ ਤਬਦੀਲੀ ਪਹਿਲਾਂ ਹੀ ਮਨਜ਼ੂਰ ਹੋ ਚੁੱਕੀ ਹੁੰਦੀ ਹੈ ਅਤੇ ਟਨਲ ਅਜੇ ਵੀ ਉੱਪਰ ਆਉਣ ਤੋਂ ਇਨਕਾਰ ਕਰ ਰਹੀ ਹੁੰਦੀ ਹੈ। ਇਹੀ ਉਮੀਦ ਕੀਤਾ ਨਤੀਜਾ ਹੈ ਜਦੋਂ ਸੁਵਿਧਾ ਸਿਰਫ਼ ਇੱਕ ਸਿਰੇ ਉੱਤੇ ਹੋਵੇ: RFC 9329 ਅਨੁਸਾਰ TCP ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ ਲਾਗੂ ਅਤੇ ਕਨਫਿਗਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਸਹਿਮਤੀ ਕਨੈਕਸ਼ਨ ਦੇ ਅੰਦਰ ਹੁੰਦੀ ਹੈ। ਪੋਰਟ ਖੋਲ੍ਹਣਾ ਉਸ ਲਿਸਨਰ ਦੀ ਘੋਸ਼ਣਾ ਹੈ ਜੋ ਸ਼ਾਇਦ ਨਾ ਹੋਵੇ, ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਮੇਲ ਖਾਂਦੀ ਕਨਫਿਗਰੇਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਲਿਸਨਰ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਕੇ ਫਿਰ ਚੁੱਪ ਹੋ ਜਾਂਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਕ੍ਰਮ ਸਸਤੀਆਂ ਜਾਂਚਾਂ ਨੂੰ ਪਹਿਲਾਂ ਰੱਖਦਾ ਹੈ।
ਜਾਣੋ ਕਿ ਵਿਕਲਪ ਅਸਲ ਵਿੱਚ ਕੀ ਜੋੜਦਾ ਹੈ
ਮੂਲ IPsec ਇਨਕ੍ਰਿਪਟਿਡ ਪੇਲੋਡ ਇਸ ਤਰ੍ਹਾਂ ਲੈ ਜਾਂਦਾ ਹੈ: IP ਪ੍ਰੋਟੋਕੋਲ 50, ਮਨਜ਼ੂਰੀ ਦੇਣ ਲਈ ਕੋਈ ਪੋਰਟ ਨੰਬਰ ਤੋਂ ਬਿਨਾਂ। NAT ਟ੍ਰਾਵਰਸਲ ਉਨ੍ਹਾਂ ਪੈਕਟਾਂ ਨੂੰ UDP ਵਿੱਚ ਲਪੇਟ ਕੇ ਪੋਰਟ 4500 ਉੱਤੇ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਇਸੇ ਲਈ ਇੰਨੇ ਫਾਇਰਵਾਲ ਨਿਯਮ ਉਸ ਪੋਰਟ ਦਾ ਜ਼ਿਕਰ ਕਰਦੇ ਹਨ। RFC 9329 ਸਟ੍ਰੀਮ ਪੇਸ਼ਕਾਰੀ ਜੋੜਦਾ ਹੈ: IKE ਅਤੇ IPsec ਪੈਕਟ ਦੋਵੇਂ ਇੱਕੋ TCP ਕਨੈਕਸ਼ਨ ਦੇ ਅੰਦਰ, ਆਮ ਤੌਰ ਉੱਤੇ ਪੋਰਟ 4500 ਉੱਤੇ ਸਫ਼ਰ ਕਰਦੇ ਹਨ।
ਇਹ ਸਟ੍ਰੀਮ ਵੈੱਬ ਸੇਵਾ ਨਹੀਂ ਹੈ। 4500 ਉੱਤੇ TCP ਕਨੈਕਸ਼ਨ HTTP, TLS ਜਾਂ ਪ੍ਰੌਕਸੀ-ਅਨੁਕੂਲਤਾ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਅਤੇ ਰਸਤੇ ਵਿੱਚ HTTP ਪ੍ਰੌਕਸੀ ਆਮ ਤੌਰ ਉੱਤੇ ਇਸਨੂੰ ਲੈ ਜਾਣ ਦੀ ਥਾਂ ਫਰੇਮਿੰਗ ਤੋੜ ਦੇਵੇਗੀ।
ਫਾਇਰਵਾਲ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਪੂਰਵ-ਜਾਂਚ
ਮਿਆਰ TCP ਨੂੰ UDP ਰਸਤਾ ਛੱਡਣ ਵਾਲੇ ਨੈਟਵਰਕ ਲਈ ਬੈਕਅੱਪ ਵਜੋਂ ਰੱਖਦਾ ਹੈ, ਇਸਦੇ ਵਿਕਲਪ ਵਜੋਂ ਨਹੀਂ। ਹਰ ਵਿਕਰੇਤਾ ਤੋਂ ਦੋ ਤੱਥ ਲਓ: ਸੁਵਿਧਾ ਦਾ ਸਹੀ ਨਾਮ ਅਤੇ ਉਹ ਸੰਸਕਰਣ ਜੋ ਮਾਲਕੀ ਰੂਪ ਦੀ ਥਾਂ RFC 9329 ਲਾਗੂ ਕਰਦਾ ਹੈ। IPsec over TCP ਵਰਗੇ ਲੇਬਲ ਅਸੰਬੰਧਿਤ ਡਿਜ਼ਾਈਨਾਂ ਲਈ ਵਰਤੇ ਗਏ ਹਨ, ਇਸ ਲਈ ਦਸਤਾਵੇਜ਼ ਸੰਦਰਭ ਅਤੇ ਇਸਨੂੰ ਚਾਲੂ ਕਰਨ ਵਾਲੀ ਕਨਫਿਗਰੇਸ਼ਨ ਕੁੰਜੀ ਮੰਗੋ। ਦੋਵੇਂ ਜਵਾਬਾਂ ਤੋਂ ਬਿਨਾਂ ਤਾਰ ਅਨੁਕੂਲਤਾ ਬਾਰੇ ਕੁਝ ਨਾ ਮੰਨੋ।
ਇਹ ਉਸ ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਵਿੱਚ ਸਾਬਤ ਕਰੋ ਜਿੱਥੇ ਦੋਵੇਂ ਸਿਰੇ ਤੁਹਾਡੇ ਹੋਣ। TCP 4500 ਉੱਤੇ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਪਰ IKE ਕਦੇ ਪੂਰਾ ਨਾ ਕਰਨ ਵਾਲਾ ਗੇਟਵੇ ਦੂਜੇ ਪਾਸੇ ਮੇਲ ਖਾਂਦੇ ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਲਿਸਨਰ ਦਾ ਸੰਕੇਤ ਹੈ, ਅਤੇ ਉੱਥੇ ਲੱਭਣਾ ਤਬਦੀਲੀ ਵਿੰਡੋ ਦੌਰਾਨ ਲੱਭਣ ਨਾਲੋਂ ਕਿਤੇ ਸਸਤਾ ਹੈ।
ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਪਾਸੇ: ਕੁਝ ਸੁਣ ਰਿਹਾ ਹੈ
ਸਾਕਟ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ। ss -ltnp | grep 4500 ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ TCP ਲਿਸਨਰ ਹੈ ਜਾਂ ਨਹੀਂ ਅਤੇ ਕਿਹੜੀ ਪ੍ਰਕਿਰਿਆ ਇਸਦੀ ਮਾਲਕ ਹੈ। ਲਾਈਨ ਦਾ ਨਾ ਹੋਣਾ ਜਾਂਚ ਨੂੰ ਨੈਟਵਰਕ ਉੱਤੇ ਨਹੀਂ, ਗੇਟਵੇ ਕਨਫਿਗਰੇਸ਼ਨ ਉੱਤੇ ਖ਼ਤਮ ਕਰਦਾ ਹੈ।
ਜੇ ਸਾਕਟ ਮੌਜੂਦ ਹੈ, ਤਾਂ ਕਲਾਇੰਟ ਪਾਸਿਓਂ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਥਾਂ ਹੈਂਡਸ਼ੇਕ ਵੇਖੋ: tcpdump -ni any 'tcp port 4500'। ਪੂਰਾ ਹੋਇਆ ਤਿੰਨ-ਪਾਸੜ ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਫਿਰ ਚੁੱਪ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਟ੍ਰੀਮ ਸਵੀਕਾਰ ਹੋਈ ਅਤੇ ਇਸਦੇ ਅੰਦਰ IKE ਵਟਾਂਦਰਾ ਫੇਲ੍ਹ ਹੋਇਆ, ਜਦੋਂ ਕਿ ਜਵਾਬ ਤੋਂ ਬਿਨਾਂ SYN ਫਿਲਟਰਿੰਗ ਜਾਂ ਗਲਤ ਪਤੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।
ਦੋਵੇਂ ਨਾ ਮਿਲ ਜਾਣ ਲਈ ਉਸੇ ਕੈਪਚਰ ਵਿੰਡੋ ਵਿੱਚ UDP ਰਸਤੇ ਨਾਲ ਤੁਲਨਾ ਕਰੋ: tcpdump -ni any 'udp port 4500 or proto 50'। TCP ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ ਅਜਿਹਾ ਤੁਹਾਨੂੰ ਲੱਗਦਾ ਹੋਵੇ ਤਦ ਪ੍ਰੋਟੋਕੋਲ 50 ਜਾਂ UDP ਪੋਰਟ 4500 ਉੱਤੇ ਟ੍ਰੈਫਿਕ ਹੋਣ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਦੋਵੇਂ ਸਿਰੇ ਬੈਕਅੱਪ ਉੱਤੇ ਕਦੇ ਸਹਿਮਤ ਨਹੀਂ ਹੋਏ। ਜੇ ਸੰਭਵ ਹੋਵੇ ਤਾਂ ਗੇਟਵੇ ਉੱਤੇ ਵੀ ਕੈਪਚਰ ਕਰੋ, ਕਿਉਂਕਿ ਕਲਾਇੰਟ-ਪਾਸੇ ਦਾ ਕੈਪਚਰ ਨਹੀਂ ਦਿਖਾ ਸਕਦਾ ਕਿ ਦੂਰਲੇ ਸਿਰੇ ਨੇ ਕੀ ਭੇਜਿਆ।
ਚਾਰ ਵੱਖਰੇ ਪੜਾਵਾਂ ਵਿੱਚ ਸਵੀਕਾਰ ਕਰੋ
ਉਠਣ ਨੂੰ ਚਾਰ ਨਤੀਜਿਆਂ ਵਜੋਂ ਲਓ। ਹਰ ਇੱਕ ਵੱਖਰੇ ਕਾਰਨ ਨਾਲ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਇੱਕੋ ਪਾਸ ਜਾਂ ਫੇਲ੍ਹ ਲੁਕਾਉਂਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਸੀ, ਇਸ ਲਈ ਪਹਿਲੇ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲੇ ਪੜਾਅ ਉੱਤੇ ਰੁਕੋ ਅਤੇ ਦੁਬਾਰਾ ਉੱਪਰੋਂ ਸ਼ੁਰੂ ਕਰੋ।
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
ਚੌਥਾ ਪੜਾਅ ਉਹ ਹੈ ਜੋ ਛੱਡ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਕੈਸ਼ ਕੀਤੀ ਸਥਿਤੀ ਉੱਤੇ ਕੰਮ ਕਰਦਾ ਰਹਿ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਤਬਦੀਲੀ ਬੰਦ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਗੇਟਵੇ ਪਿੱਛੇ ਦੇ ਹੋਸਟ ਨਾਲ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ। ਜੇ ਦੂਜਾ ਪੜਾਅ ਫੇਲ੍ਹ ਹੋਵੇ ਅਤੇ ਪਹਿਲਾ ਪਾਸ ਹੋ ਜਾਵੇ, ਤਾਂ ਮਤਭੇਦ ਪ੍ਰਸਤਾਵ ਜਾਂ ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਸੈਟਿੰਗ ਵਿੱਚ ਹੈ, ਫਾਇਰਵਾਲ ਵਿੱਚ ਨਹੀਂ।
ਰੋਲਬੈਕ, ਅਤੇ ਇਸਨੂੰ ਚਾਲੂ ਰੱਖਣ ਦੀ ਕੀਮਤ
ਤਬਦੀਲੀ ਤੋਂ ਪਹਿਲਾਂ ਵਾਪਸੀ ਦੀ ਯੋਜਨਾ ਬਣਾਓ: ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ ਇਨਕੈਪਸੂਲੇਸ਼ਨ ਵਿਕਲਪ ਬੰਦ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਟਨਲ UDP ਰਾਹੀਂ ਵਾਪਸ ਆਉਂਦੀ ਹੈ। ਜੇ ਬੈਕਅੱਪ ਦੁਬਾਰਾ ਲੋੜੀਂਦਾ ਹੋਵੇ ਤਾਂ ਇੱਕ ਸਮੀਖਿਆ ਚੱਕਰ ਲਈ TCP ਨਿਯਮ ਰੱਖੋ, ਫਿਰ ਉਸਨੂੰ ਹਟਾ ਦਿਓ। 4500 ਉੱਤੇ ਬਿਨਾਂ ਵਰਤਿਆ ਲਿਸਨਰ ਕਿਸੇ ਵੀ ਕਾਰਜਸ਼ੀਲ ਮੁੱਲ ਤੋਂ ਬਿਨਾਂ ਸਤਹ ਹੈ।
ਜਦੋਂ ਇਹ ਅਸਲੀ ਕੰਮ ਲੈ ਕੇ ਚੱਲੇ ਤਾਂ ਪ੍ਰਦਰਸ਼ਨ ਦੇ ਸੰਕੇਤ ਵੱਲ ਧਿਆਨ ਦਿਓ। TCP ਦੇ ਅੰਦਰ TCP ਇੱਕੋ ਨੁਕਸਾਨ ਉੱਤੇ ਰੁਕਣ ਵਾਲੀਆਂ ਪੁਸ਼ਟੀ ਪਰਤਾਂ ਜੋੜਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਕਨੈਕਸ਼ਨ ਸਾਂਝਾ ਕਰਨ ਵਾਲੀਆਂ ਸਟ੍ਰੀਮਾਂ ਇੱਕ-ਦੂਜੇ ਨੂੰ ਰੋਕ ਸਕਦੀਆਂ ਹਨ, ਇਸ ਲਈ ping ਦੀ ਥਾਂ ਟਨਲ ਵਰਤਣ ਵਾਲੀ ਐਪਲੀਕੇਸ਼ਨ ਮਾਪੋ।
ਪ੍ਰਵਾਨਗੀ ਸੂਚੀ
ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ ਸੁਵਿਧਾ ਦਾ ਨਾਮ ਅਤੇ ਸੰਸਕਰਣ, ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਪਾਸੇ ਲਿਸਨਰ, ਪੂਰਾ ਹੈਂਡਸ਼ੇਕ ਦਿਖਾਉਣ ਵਾਲਾ ਕੈਪਚਰ, ਅਤੇ ਸਮਾਂ-ਛਾਪਾਂ ਨਾਲ ਦਰਜ ਚਾਰ ਪੜਾਅ ਪੁਸ਼ਟੀ ਕਰੋ। ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ TCP ਕਿਉਂ ਹੈ ਇਹ ਜਾਣਨ ਲਈ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਬੈਕਅੱਪ ਦਾ ਕਾਰਨ ਜੋੜੋ। ਲੋੜ ਪੈਣ ਤੋਂ ਪਹਿਲਾਂ ਰੋਲਬੈਕ ਦਾ ਅਭਿਆਸ ਕਰੋ।
ਜੇ ਕੋਈ ਪੜਾਅ ਫੇਲ੍ਹ ਹੋਵੇ, ਤਾਂ ਸਿਰਫ਼ ਉਹੀ ਪੜਾਅ ਠੀਕ ਕਰੋ। ਟ੍ਰਾਂਸਪੋਰਟ ਸਮੱਸਿਆ ਪਿੱਛੇ ਭੱਜਣ ਲਈ ਸਾਈਫਰ ਸੂਟ ਜਾਂ ਪਛਾਣ ਸੈਟਿੰਗਾਂ ਬਦਲਣਾ ਆਮ ਤੌਰ ਉੱਤੇ ਪਹਿਲੇ ਉੱਤੇ ਦੂਜੀ, ਅਸੰਬੰਧਿਤ ਫੇਲ੍ਹਤਾ ਜੋੜਦਾ ਹੈ।