IKEv2 UDP 500 ਅਤੇ 4500 ਵਰਤਦਾ ਹੈ: ਡੇਟਾ ਕਿਹੜਾ ਪੋਰਟ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ?

ਫਾਇਰਵਾਲ ਵਿੱਚ UDP 500 ਖੋਲ੍ਹਣ ਨਾਲ ਸੁਰੰਗ ਗੱਲਬਾਤ ਕਰ ਸਕਦੀ ਹੈ, ਅਤੇ ਫਿਰ ਕਨੈਕਸ਼ਨ ਟ੍ਰੈਫਿਕ ਲੰਘਾਉਣਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ। ਪੋਰਟ ਸੂਚੀ ਅਧੂਰੀ ਸੀ, ਗਲਤ ਨਹੀਂ। IKEv2 ਇੱਕ ਸਾਕਟ 'ਤੇ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਈ ਅਸਲ ਤੈਨਾਤੀਆਂ ਵਿੱਚ ਦੂਜੇ 'ਤੇ ਜਾਰੀ ਰਹਿੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪੇਲੋਡ ਪੋਰਟ ਹੀ ਨਾ ਹੋਵੇ। ਪੜਾਅ ਕ੍ਰਮ ਨਾਲ ਪੜ੍ਹਨ ਨਾਲ ਪਤਾ ਲੱਗਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਨਿਯਮ ਗੁੰਮ ਹੈ।

ਦੋ ਪੋਰਟ, ਦੋ ਕੰਮ

IKEv2 UDP 500 'ਤੇ ਕੁੰਜੀ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਜਿੱਥੇ ਦੋਵੇਂ ਧਿਰਾਂ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਸੁਰੰਗ ਲਈ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਸਥਾਪਿਤ ਕਰਦੀਆਂ ਹਨ। ਇਸ ਤੋਂ ਬਾਅਦ ਦਾ ਡੇਟਾ ਰਾਹ ਅਲੱਗ ਮਾਮਲਾ ਹੈ: ਇਹ ਮੂਲ ESP ਹੋ ਸਕਦਾ ਹੈ, ਜੋ ਪੋਰਟ ਨਹੀਂ ਬਲਕਿ IP ਪ੍ਰੋਟੋਕੋਲ ਨੰਬਰ ਹੈ, ਜਾਂ 4500 'ਤੇ UDP ਵਿੱਚ ਲਪੇਟਿਆ ਟ੍ਰੈਫਿਕ। ਫਾਇਰਵਾਲ ਸਮੀਖਿਆ ਵਿੱਚ ਇਹਨਾਂ ਨੂੰ ਵੱਖਰਾ ਰੱਖਣਾ ਹੀ ਗੱਲਬਾਤ ਕਰਨ ਵਾਲੀ ਸੁਰੰਗ ਅਤੇ ਕੰਮ ਕਰਨ ਵਾਲੀ ਸੁਰੰਗ ਵਿਚਕਾਰ ਫਰਕ ਹੈ। ਇੱਕ ਸਾਕਟ ਨਿਯੰਤਰਣ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਪੇਲੋਡ।

ਇਸ ਲਈ ਸਿਰਫ਼ 500 ਦੀ ਆਗਿਆ ਦੇਣ ਵਾਲਾ ਨਿਯਮ ਪੂਰੇ ਪ੍ਰੋਟੋਕੋਲ ਪਰਿਵਾਰ ਵਿੱਚ ਸਭ ਤੋਂ ਉਲਝਾਉਣ ਵਾਲਾ ਲੱਛਣ ਪੈਦਾ ਕਰਦਾ ਹੈ: ਗੱਲਬਾਤ ਸਫਲ ਹੁੰਦੀ ਹੈ ਅਤੇ ਕੋਈ ਲਾਹੇਵੰਦ ਚੀਜ਼ ਨਹੀਂ ਆਉਂਦੀ। ਸਥਿਤੀ ਇੱਕ ਸਾਥੀ ਦਿਖਾਉਂਦੀ ਹੈ, ਲਾਗ ਸਥਾਪਿਤ IKE SA ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਐਪ ਫਿਰ ਵੀ ਸਮਾਂ ਖਤਮ ਹੋ ਜਾਂਦਾ ਹੈ। ਗੁੰਮ ਆਗਿਆ ਹੁਣੇ ਸਫਲ ਹੋਏ ਪ੍ਰਵਾਹ ਤੋਂ ਵੱਖਰੇ ਪ੍ਰਵਾਹ ਦੀ ਹੈ।

4500 ਆਖਰ ਕਿਉਂ ਹੈ

ਕਈ NAT ਯੰਤਰ TCP ਜਾਂ UDP ਤੋਂ ਇਲਾਵਾ ਹੋਰ ਪ੍ਰੋਟੋਕੋਲ ਅੱਗੇ ਨਹੀਂ ਭੇਜ ਸਕਦੇ, ਅਤੇ ਕੁਝ ਪਤੇ ਇਸ ਤਰ੍ਹਾਂ ਮੁੜ ਲਿਖਦੇ ਹਨ ਜਿਸ ਨਾਲ ESP ਦੀ ਅਖੰਡਤਾ ਜਾਂਚ ਟੁੱਟ ਜਾਂਦੀ ਹੈ। ESP ਨੂੰ UDP ਵਿੱਚ ਲਪੇਟਣ ਨਾਲ ਦੋਵੇਂ ਸਮੱਸਿਆਵਾਂ ਹੱਲ ਹੁੰਦੀਆਂ ਹਨ, ਪਰ ਵਾਧੂ ਹੈਡਰ ਅਤੇ ਮਨਜ਼ੂਰ ਕਰਨ ਯੋਗ ਦੂਜੇ ਪੋਰਟ ਦੀ ਕੀਮਤ 'ਤੇ। ਇਹ ਲਪੇਟ ਹੀ ਦੂਜੇ ਪੋਰਟ ਦੇ ਹੋਣ ਦਾ ਕਾਰਨ ਹੈ।

NAT ਦਾ ਪਤਾ ਲੱਗਣ 'ਤੇ IKE ਆਪ ਵੀ 4500 'ਤੇ ਚਲਾ ਜਾਂਦਾ ਹੈ ਤਾਂ ਜੋ ਸਾਰਾ ਟ੍ਰੈਫਿਕ ਅਨੁਵਾਦਕ ਰਾਹੀਂ ਇੱਕ ਰਾਹ ਸਾਂਝਾ ਕਰੇ। ਚਾਰ ਬਾਈਟ ਦਾ ਗੈਰ-ESP ਨਿਸ਼ਾਨ ਉਸ ਸਾਕਟ 'ਤੇ ਨਿਯੰਤਰਣ ਸੰਦੇਸ਼ਾਂ ਨੂੰ ਡੇਟਾ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ। ਇਹ ਬਦਲਾਅ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਫੈਸਲਾ ਹੈ, ਪ੍ਰਸ਼ਾਸਕ ਦੀ ਪਸੰਦ ਨਹੀਂ।

ਸਰੋਤ ਪੋਰਟ ਕਿੱਥੇ ਬਦਲਦਾ ਹੈ

ਅਨੁਵਾਦਕ ਕਲਾਇੰਟ ਦਾ ਸਰੋਤ ਪੋਰਟ ਮੁੜ ਲਿਖ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਸਰਵਰ 'ਤੇ ਦਿਖਣ ਵਾਲਾ ਟਿਊਪਲ ਕਲਾਇੰਟ ਦੇ ਟਿਊਪਲ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ। ਕਿਸੇ ਨਿਯਮ ਦੀ ਅਣਗਹਿਲੀ ਦਾ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਹਰ NAT ਛਾਲ ਦੇ ਦੋਵੇਂ ਪਾਸੇ ਵੇਖੋ। ਸਿਰਫ਼ ਕਲਾਇੰਟ 'ਤੇ ਸਮੱਸਿਆ ਲੱਭਣ ਨਾਲ ਅਜਿਹਾ ਨਿਯਮ ਮਿਲ ਸਕਦਾ ਹੈ ਜੋ ਸਹੀ ਦਿਸਦਾ ਹੈ ਪਰ ਫਿਰ ਵੀ ਫੇਲ ਹੁੰਦਾ ਹੈ।

MOBIKE ਸਮਰੱਥ ਕਾਰਜਨਵਿਆਈਆਂ NAT ਨਾ ਮਿਲਣ 'ਤੇ ਵੀ 4500 'ਤੇ ਜਾ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਕੁਝ ਤੈਨਾਤੀਆਂ ਇਸ ਰਾਹ ਨੂੰ ਜਾਣਬੁੱਝ ਕੇ ਲਾਜ਼ਮੀ ਕਰਦੀਆਂ ਹਨ। ਇਸ ਲਈ 4500 ਵੇਖਣਾ ਫੈਸਲੇ ਦਾ ਸਬੂਤ ਹੈ, ਘਰੇਲੂ ਰਾਊਟਰ ਦਾ ਸਬੂਤ ਨਹੀਂ।

ਹਰ ਸੀਮਾ 'ਤੇ ਦੋਵੇਂ ਪ੍ਰਵਾਹ ਜਾਂਚੋ

ਤਿੰਨ ਸੀਮਾਵਾਂ ਵਿੱਚੋਂ ਲੰਘੋ: ਕਲਾਇੰਟ ਨੈੱਟਵਰਕ, ਕੋਈ ਵੀ ਵਿਚਕਾਰਲਾ ਫਾਇਰਵਾਲ ਅਤੇ ਸਰਵਰ। ਹਰ ਇੱਕ ਨੂੰ ਤੈਨਾਤੀ ਵੱਲੋਂ ਦਸਤਾਵੇਜ਼ਬੱਧ ਪ੍ਰਵਾਹ ਚਾਹੀਦਾ ਹੈ, ਕਿਸੇ ਹੋਰ ਮਾਮਲੇ ਬਾਰੇ ਲੇਖ ਦੇ ਪ੍ਰਵਾਹ ਨਹੀਂ।

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ਫਾਇਰਵਾਲ ਸੂਚੀ ਵਿੱਚ ESP ਲਾਈਨ ਪ੍ਰੋਟੋਕੋਲ ਮੇਲ ਹੈ, ਇਸ ਲਈ ਪੋਰਟ ਨਿਯਮ ਕਦੇ ਵੀ ਇਸ ਨੂੰ ਨਹੀਂ ਢਕਦਾ। ਜੇ ਓਪਰੇਟਰ ਕਸਟਮ ਪੋਰਟ ਵਰਤਦਾ ਹੈ ਤਾਂ ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਦਸਤਾਵੇਜ਼ਬੱਧ ਸੰਰਚਨਾ ਦੀ ਪਾਲਣਾ ਕਰੋ, ਕਿਉਂਕਿ ਕਲਾਇੰਟ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਨੰਬਰ ਚੁਣ ਕੇ ਸਰਵਰ 'ਤੇ ਸਰੋਤਾ ਨਹੀਂ ਬਣਾ ਸਕਦਾ।

ਗੱਲਬਾਤ ਕਿੱਥੇ ਰੁਕੀ ਅਤੇ ਬਾਲ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਸਥਾਪਿਤ ਹੋਇਆ ਕਿ ਨਹੀਂ, ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਇਹ ਜੋੜੀ ਰੁਕੇ ਹੋਏ ਰਾਹ ਨੂੰ ਪ੍ਰਮਾਣੀਕਰਨ ਜਾਂ ਨੀਤੀ ਦੀ ਗਲਤੀ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ। ਫਿਰ ਸਰਵਰ ਜਾਂਚ ਸਰਗਰਮ ਰੱਖ ਕੇ ਟੈਸਟ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ ਪਹੁੰਚ ਪ੍ਰਮਾਣੀਕਰਨ ਨਹੀਂ ਹੈ। ਉਹ ਆਖਰੀ ਕਦਮ ਮਨਜ਼ੂਰ ਪੋਰਟ ਨੂੰ ਭਰੋਸੇਯੋਗ ਸਾਥੀ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ।