Android 'ਤੇ ਗੈਰ-ਮਿਆਰੀ UDP ਪੋਰਟ 'ਤੇ IKEv2 ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ

ਗੇਟਵੇ UDP 4443 'ਤੇ IKEv2 ਦਾ ਜਵਾਬ ਕਿਸੇ ਕਾਰਨ ਕਰਕੇ ਦਿੰਦਾ ਹੈ, ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ Server ਨਾਮ ਦਾ ਖੇਤਰ ਹੈ, ਤੁਸੀਂ ਹੋਸਟਨਾਮ ਅਤੇ ਪੋਰਟ ਲਿਖਦੇ ਹੋ, ਅਤੇ ਫ਼ੋਨ ਦੱਸਦਾ ਹੈ ਕਿ ਉਹ ਸਰਵਰ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ ਜਾਂ ਪਤਾ ਹੱਲ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਕੁਝ ਵੀ ਬਲਾਕ ਨਹੀਂ ਹੋ ਰਿਹਾ। Android ਦਾ ਮੂਲ ਫਾਰਮ ਹੋਸਟ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਅਤੇ Windows 'ਤੇ ਵੀ ਇਹੀ ਸੱਚ ਹੈ। ਕਸਟਮ ਪੋਰਟ ਸਰਵਰ ਸੈਟਿੰਗ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਇੰਟ ਦੀ ਸਮਰਥਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਕੁਝ ਕਲਾਇੰਟ ਹੀ ਇਸਨੂੰ ਪ੍ਰਗਟ ਕਰਨ ਦਿੰਦੇ ਹਨ। ਤਿੰਨੇ ਭਾਗ ਕ੍ਰਮ ਵਿੱਚ ਵੇਖੋ: ਕਲਾਇੰਟ ਕੀ ਕਹਿ ਸਕਦਾ ਹੈ, ਸਰਵਰ ਕਿਸ 'ਤੇ ਸੁਣ ਰਿਹਾ ਹੈ, ਅਤੇ ਕੀ ਦੋਵੇਂ ਸਿਰੇ ਪੈਕੇਟਾਂ ਨੂੰ ਇੱਕੋ ਤਰੀਕੇ ਨਾਲ ਫਰੇਮ ਕਰਦੇ ਹਨ।

ਫ਼ੋਨ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਭੇਜਿਆ

ਨਾਮ ਲਈ ਬਣੇ ਖੇਤਰ ਵਿੱਚ host:port ਸਟ੍ਰਿੰਗ ਨਾਮ ਵਜੋਂ ਹੱਲ ਹੁੰਦੀ ਹੈ। ਰਿਜ਼ੋਲਵਰ vpn.example.net:4443 ਲਈ ਕੁਝ ਨਹੀਂ ਮੋੜਦਾ, ਅਤੇ ਜੋ ਗਲਤੀ ਤੁਸੀਂ ਦੇਖਦੇ ਹੋ ਉਹ ਪੋਰਟ 'ਤੇ ਸਮਾਂ-ਸਮਾਪਤੀ ਨਹੀਂ, ਸਗੋਂ ਨਾਮ-ਰਿਜ਼ੋਲਿਊਸ਼ਨ ਜਾਂ ਅਪਹੁੰਚ ਦੀ ਅਸਫਲਤਾ ਹੈ। ਇਹ ਅੰਤਰ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਕਿਉਂਕਿ ਛੋਟੇ ਨਾਮ ਜਾਂ ਦੂਜੇ ਨੈੱਟਵਰਕ ਨਾਲ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਕਰਨਾ ਉਸ ਸਟ੍ਰਿੰਗ ਨੂੰ ਕਦੇ ਠੀਕ ਨਹੀਂ ਕਰੇਗਾ ਜਿਸਨੂੰ ਫਾਰਮ ਪਾਰਸ ਨਹੀਂ ਕਰ ਸਕਦਾ।

Android 'ਤੇ ਮੂਲ IKEv2 ਪ੍ਰੋਫਾਈਲ, Windows ਦੇ ਬਿਲਟ-ਇਨ VPN ਕਲਾਇੰਟ ਵਾਂਗ, ਮਿਆਰੀ IKE ਪੋਰਟਾਂ 'ਤੇ ਸਥਿਰ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਪੋਰਟ ਖੇਤਰ ਨਹੀਂ ਦਿਖਾਉਂਦਾ, ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਸੰਪਾਦਨ ਨਾਲ ਇੱਕ ਵੀ ਨਹੀਂ ਜੁੜਦਾ। ਜੇਕਰ ਓਪਰੇਟਰ ਦਾ ਸਰੋਤਾ ਸੱਚਮੁੱਚ 4443 'ਤੇ ਹੈ, ਤਾਂ ਬਿਲਟ-ਇਨ ਕਲਾਇੰਟ ਗਲਤ ਸਾਧਨ ਹੈ, ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਨਹੀਂ।

ਉਹ ਕਲਾਇੰਟ ਵਰਤੋ ਜੋ ਪੋਰਟ ਦਿਖਾਉਂਦਾ ਹੈ

strongSwan ਦਾ Android ਕਲਾਇੰਟ ਆਪਣੀਆਂ ਉੱਨਤ ਪ੍ਰੋਫਾਈਲ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਕੌਂਫਿਗਰ ਕਰਨ ਯੋਗ ਸਰਵਰ ਪੋਰਟ ਦਾ ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ, ਇਸੇ ਲਈ ਇਹ ਇਸ ਡਿਜ਼ਾਈਨ ਲਈ ਕੰਮ ਕਰਨ ਵਾਲੀ ਲਗਭਗ ਹਰ ਵਿਧੀ ਵਿੱਚ ਦਿਖਦਾ ਹੈ। ਉਹ ਸਮਰਥਨ ਉਸੇ ਕਲਾਇੰਟ ਦਾ ਹੈ: ਕੋਈ ਦੂਜੀ IKEv2 ਐਪ, ਜਾਂ ਉਸੇ ਐਪ ਦਾ ਵਿਕਰੇਤਾ ਫੋਰਕ, ਉਹੀ ਖੇਤਰ ਨਹੀਂ ਦਿਖਾ ਸਕਦਾ, ਭਾਵੇਂ ਹੇਠਾਂ ਵਾਲਾ strongSwan ਡੈਮਨ ਇਸਨੂੰ ਸਮਰਥਨ ਦਿੰਦਾ ਹੋਵੇ।

ਓਪਰੇਟਰ ਤੋਂ ਪੂਰਾ ਸੈੱਟ ਇੱਕੋ ਵਾਰ ਮੰਗੋ: ਗੇਟਵੇ ਨਾਮ, UDP ਪੋਰਟ, ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ, ਅਤੇ ਉਹ ਸਰਵਰ ਪਛਾਣ ਜਿਸਦੀ ਕਲਾਇੰਟ ਨੂੰ ਉਮੀਦ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਕਸਟਮ ਪੋਰਟ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਬੰਦ ਕਰਨ ਜਾਂ ਪ੍ਰੋਟੋਕੋਲ ਬਦਲਣ ਦਾ ਕਾਰਨ ਨਹੀਂ ਹੈ। ਪੋਰਟ ਉੱਥੇ ਦਰਜ ਕਰੋ ਜਿੱਥੇ ਸਥਾਪਿਤ ਕਲਾਇੰਟ ਇਸਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਅਤੇ ਜੇਕਰ ਉਸ ਕਲਾਇੰਟ ਵਿੱਚ ਅਜਿਹਾ ਖੇਤਰ ਨਹੀਂ ਹੈ, ਤਾਂ ਜਵਾਬ ਕੋਈ ਅੰਦਾਜ਼ਨ ਉਪਾਅ ਨਹੀਂ, ਦੂਜਾ ਮਨਜ਼ੂਰ ਕਲਾਇੰਟ ਹੈ।

ਸਰਵਰ ਦੇ ਦੋ ਪੋਰਟ ਹਨ, ਅਤੇ ਦੋਵੇਂ ਮੇਲ ਖਾਣੇ ਚਾਹੀਦੇ ਹਨ

IKE UDP 500 'ਤੇ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਅਤੇ NAT ਟ੍ਰੈਵਰਸਲ ਆਮ ਤੌਰ 'ਤੇ IKE ਅਤੇ ਇਨਕੈਪਸੁਲੇਟਿਡ ESP ਨੂੰ UDP 4500 'ਤੇ ਲੈ ਜਾਂਦਾ ਹੈ। ਇਹ strongSwan ਵਿੱਚ ਵੱਖਰੀਆਂ ਸੈਟਿੰਗਾਂ ਹਨ, ਇਸ ਲਈ ਇੱਕ ਕਸਟਮ ਪੋਰਟ 'ਤੇ ਭੇਜੇ ਸਰਵਰ ਨੂੰ ਦੋਵੇਂ ਇੱਕੋ ਮੁੱਲ ਵਿੱਚ ਬਦਲਣੇ ਪੈਣਗੇ:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

ਜਦੋਂ ਇੱਕੋ ਪੋਰਟ ਦੋਵੇਂ ਭੂਮਿਕਾਵਾਂ ਲਈ ਹੋਵੇ, ਡੈਮਨ ਨੂੰ ਉਸੇ ਸਾਕਟ 'ਤੇ IKE ਨੂੰ ESP-in-UDP ਤੋਂ ਵੱਖਰਾ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਜੋ ਇਹ IKE ਸੁਨੇਹੇ ਤੋਂ ਪਹਿਲਾਂ ਆਉਣ ਵਾਲੇ ਚਾਰ-ਬਾਈਟ ਗੈਰ-ESP ਮਾਰਕਰ ਰਾਹੀਂ ਕਰਦਾ ਹੈ। ਇਸੇ ਲਈ ਕਲਾਇੰਟ ਕਸਟਮ ਪੋਰਟ 'ਤੇ ਗੱਲਬਾਤ ਕਰਕੇ ਫਿਰ ਚੁੱਪਚਾਪ 4500 'ਤੇ ਨਹੀਂ ਚੱਲ ਸਕਦਾ, ਅਤੇ ਇਸੇ ਲਈ “ਸਿਰਫ਼ ਪੋਰਟ ਬਦਲੋ” ਵਾਕ ਫਰੇਮਿੰਗ ਦੀ ਸ਼ਰਤ ਲੁਕਾਉਂਦਾ ਹੈ।

ਫਾਰਵਰਡ ਕਰਨਾ ਸਰੋਤਾ ਨਹੀਂ ਹੈ

4443 ਨੂੰ ਆਮ IKE ਸਰੋਤੇ 'ਤੇ ਫਾਰਵਰਡ ਕਰਨਾ ਉਹ ਅਸਫਲਤਾ-ਤਰੀਕਾ ਹੈ ਜੋ ਲਗਭਗ ਸਫਲ ਦਿਖਦਾ ਹੈ। ਪਹਿਲਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਆਉਂਦਾ ਹੈ, ਸਰਵਰ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਕਨੈਕਸ਼ਨ ਰੁਕ ਜਾਂਦਾ ਹੈ ਜਾਂ ਕੁਝ ਵੀ ਨਾ ਬਚਦਿਆਂ ਕੁੰਜੀਆਂ ਦੁਬਾਰਾ ਬਣਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਜਵਾਬ ਕਿਸੇ ਹੋਰ ਪੋਰਟ ਤੋਂ ਨਿਕਲਦਾ ਹੈ ਅਤੇ ਬਾਅਦ ਦਾ ਇਨਕੈਪਸੁਲੇਟਿਡ ਟ੍ਰੈਫਿਕ ਦੋਵੇਂ ਸਿਰਿਆਂ ਵੱਲੋਂ ਬਣਾਈ ਸਥਿਤੀ ਨਾਲ ਕਦੇ ਨਹੀਂ ਮਿਲਦਾ। ਸਰੋਤੇ ਨੂੰ ਹਿਲਾਏ ਬਿਨਾਂ ਮੰਜ਼ਿਲ ਪੋਰਟ ਦੁਬਾਰਾ ਲਿਖਣ ਵਾਲਾ ਨਿਯਮ ਬਿਲਕੁਲ ਇਹ ਅੱਧ-ਖੁੱਲ੍ਹਾ ਨਤੀਜਾ ਦਿੰਦਾ ਹੈ।

ਮਾਰਗ ਨੂੰ UDP ਵੀ ਸਿਰੇ ਤੋਂ ਸਿਰੇ ਤੱਕ ਮਨਜ਼ੂਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। TCP 443 ਦਾ ਹੋਟਲ ਜਾਂ ਓਪਰੇਟਰ ਨੈੱਟਵਰਕ ਵਿੱਚੋਂ ਲੰਘਣਾ UDP ਪੋਰਟ 'ਤੇ IKEv2 ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਭਾਵੇਂ ਨੰਬਰ ਇੱਕੋ ਹੋਵੇ। ਜਿੱਥੇ ਸਿਰਫ਼ TCP 443 ਦੀ ਆਗਿਆ ਹੈ, ਉੱਥੇ ਕਸਟਮ UDP ਪੋਰਟ IKEv2 ਨੂੰ HTTPS ਨਹੀਂ ਬਣਾਉਂਦਾ, ਅਤੇ ਸਹੀ ਜਵਾਬ ਕੋਈ ਹੋਰ ਪੋਰਟ ਪ੍ਰਯੋਗ ਨਹੀਂ, ਹੋਰ ਪਹੁੰਚ ਮਾਰਗ ਹੋ ਸਕਦਾ ਹੈ।

ਜਾਂਚ ਕਰਦੇ ਸਮੇਂ ਤਿੰਨ ਪੜਾਅ ਵੱਖ ਕਰੋ

ਜਦੋਂ ਕਲਾਇੰਟ ਇੱਕ ਵਾਰ ਕੋਸ਼ਿਸ਼ ਕਰੇ ਤਾਂ ਸਰਵਰ 'ਤੇ ਕੈਪਚਰ ਕਰੋ। ਜੋ ਬੇਨਤੀ ਕਦੇ ਨਹੀਂ ਆਉਂਦੀ ਉਹ ਅੰਤ ਬਿੰਦੂ ਜਾਂ ਫਾਇਰਵਾਲ ਦਾ ਸਵਾਲ ਹੈ; ਜੋ ਬੇਨਤੀ ਜਵਾਬ ਤੋਂ ਬਿਨਾਂ ਆਉਂਦੀ ਹੈ ਉਹ ਸਰੋਤੇ ਜਾਂ ਨੀਤੀ ਦਾ ਸਵਾਲ ਹੈ; ਅਤੇ ਜਵਾਬ ਤੋਂ ਬਾਅਦ ਚੁੱਪ ਆਉਣਾ ਫਰੇਮਿੰਗ ਜਾਂ ਪਛਾਣ ਦਾ ਸਵਾਲ ਹੈ।

tcpdump -ni eth0 -vv udp port 4443

ਫਿਰ ਕਲਾਇੰਟ ਦਾ ਘੁੰਮਦਾ ਸੂਚਕ ਨਹੀਂ, ਉਸਦਾ ਸੁਨੇਹਾ ਪੜ੍ਹੋ। ਪ੍ਰਸਤਾਵ ਗਲਤੀ ਦਾ ਅਰਥ ਹੈ ਕਿ ਐਲਗੋਰਿਦਮ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲਤਾ ਦਾ ਅਰਥ ਹੈ ਕਿ ਪਛਾਣ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਅਤੇ ਜਵਾਬ ਤੋਂ ਬਿਨਾਂ ਵਾਰ-ਵਾਰ ਮੁੜ-ਭੇਜਣ ਦਾ ਅਰਥ ਹੈ ਕਿ ਉਸ ਪੋਰਟ 'ਤੇ ਕੁਝ ਵੀ ਜਵਾਬ ਨਹੀਂ ਦੇ ਰਿਹਾ। ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਪੜਾਅ ਜਾਂਚੋ ਅਤੇ ਕੋਸ਼ਿਸ਼ਾਂ ਵਿਚਕਾਰ ਇੱਕ ਖੇਤਰ ਬਦਲੋ; NAT ਟ੍ਰੈਵਰਸਲ ਬਾਰੇ strongSwan ਦਾ ਦਸਤਾਵੇਜ਼ ਉਹ ਮਾਰਕਰ ਅਤੇ ਪੋਰਟ ਵਿਵਹਾਰ ਦੱਸਦਾ ਹੈ ਜੋ ਕੈਪਚਰ ਤੁਹਾਨੂੰ ਦਿਖਾ ਰਿਹਾ ਹੈ।