ESP د IP 50 پروتوکول دی، د TCP 50 پورټ نه: څه باید اجازه ورکړل شي
د پروتوکول شمېرې او د پورټ شمېرې بېلې نوم تشې دي. د TCP پورټ 50 لپاره قاعده هېڅ نه اجازه ورکوي، او NAT تګ راتګ ESP په UDP 4500 کې لېږدوي.
د فایر وال فورمې د TCP پورټ غواړي، او ښکاره ننوت 50 دی. دا ننوت هېڅ نه اجازه ورکوي، ځکه ESP د IP 50 شمېرې پروتوکول دی او د پروتوکول شمېرې پورټونه نه دي. دواړه نوم تشې یوازې کوچنۍ ټولې شمېرې شریکوي او نور هېڅ نه، او تېروتنه تر هغه پټه وي چې IKE پای ته ورسیږي او ساتل شوې ترافیک هېڅکله ونه رسیږي.
دوه نوم تشې چې کوچنۍ شمېرې شریکوي
د IP سرلیک د پروتوکول ساحه لري چې بل څه نوموي: د TCP لپاره 6، د UDP لپاره 17، د ICMP لپاره 1، د ESP لپاره 50، د AH لپاره 51. د TCP یا UDP سرلیک د پورټ شمېرې لري، چې په منزل کوربه کې یو بهیر غوره کوي. پروتوکول 50 او د TCP پورټ 50 بې اړیکې ارزښتونه دي، خو یو خبرو اترو بکس کولای شي دوی بدلېدونکي ښکاره کړي.
نو ځکه د پورټ لېږد قاعده اصلي ESP نه شي ښودلای. د لېږلو لپاره د ESP منزل پورټ نشته، او هغه وسیله چې یوازې د پورټ قواعد پوهیږي د دې کڅوړې لپاره هېڅ لغت نه لري. سمه قاعده پرځای د IP پروتوکول نوم اخلي. هر د پورټ خبرې اترې د دې کڅوړې لپاره غلطه وسیله ده.
گډوډۍ دویمه نیمه هم لري. کله چې کڅوړه کوډ شوې وي، هر څه چې دننه وي ناڅرګند وي، د اصلي اړیکې TCP سرلیک هم. هغه فایر وال چې په دې کڅوړه کې پورټونه ګوري بهرنی سرلیک ګوري، چې په اصلي حالت کې د ګوتې کولو لپاره پورټونه نلري.
اصلي ESP، بیا پوښل شوی بدیل
اصلي ESP مستقیم د IP پروتوکول په توګه وړل کیږي، چې په ورته ډول اغېزمن او ناخوښه دی. اغېزمن ځکه چې اضافي سرلیک نشته، او ناخوښه ځکه چې هېڅ وسیله چې پته او پورټ ژباړي نشي کولای تعقیب یې کړي. NAT تګ راتګ همدې حل لپاره دی: ESP کڅوړه د UDP دننه تاووي، ترڅو ژباړونکي د بیا لیکلو لپاره پورټونه ولري.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
دواړه بڼې د یوې معلوماتي کانال بدیل ځای پرځای کول دي، د یوې طبقې نه. اصلي ESP اجازه ورکول پوښل شوې بڼه نه اجازه ورکوي، او UDP 4500 اجازه ورکول اصلي ترافیک نه اجازه ورکوي، نو د قاعدو ټولګه باید د ځای پرځای کولو سره سمه وي، نه په ناڅاپي ډول دواړه پوښي.
دلته پېژندنه هم مهمه ده. پای ټکي د خبرو اترو پر مهال د بڼو ترمنځ پریکړه کوي، او بدلون معمولا هغه وخت وي کله چې د دوی ترمنځ NAT پېژندل شي. نو هغه لار چې د تونل له جوړېدو وروسته بدلیږي کولای شي ترافیک هغې نوم تشې ته یوسي چې ستاسو قاعدو هېڅکله نه وه پوښلې.
ولولئ چې اړیکه په رښتیا کومه بڼه کاروي
د فایر وال څخه اټکل کولو پرځای پای ټکي ته وپوښتئ. په Linux کې د حالت ننوت راپور ورکوي چې ایا ټولنه د UDP پوښ کاروي او کوم پورټونه پکې شامل دي. د کڅوړو نیول له تار څخه ورته پوښتنې ته ځواب ورکوي، او دواړه د قاعدو ټولګه لوستلو او هیله کولو څخه ګړندي دي.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'لومړی حکم د NAT تګ راتګ په کار وخت د پوښ ډول ښیي او نه کار وخت هېڅ نه ښیي. دویم ښیي چې له دوو بڼو کومه په رښتیا انټرفیس تېریږي، او دا په کاغذ سم ښکارېدونکې ترتیباتو په اړه بحثونه پای ته رسوي.
ضد شاهد هم د همدې ګام برخه ده. هغه قاعده چې صفر برابرۍ راپور ورکوي تاسو ته وایي چې کڅوړه هېڅکله هلته نه ده رسېدلې، او دا د فایر وال نه، د لارښوونې یا ټاکونکي پوښتنه ده.
بیا د کنټرول کانال جلا تایید کړئ. IKE خپل پورټونه او خپل لاګونه لري، او پرته له معلوماتو بشپړه شوې خبرې اترې هغه بېلول دي چې دا مقاله یې په اړه ده.
قاعده په سمه نوم تشه کې ولیکئ
د پروتوکول قاعده او د پورټ قاعده بېلې لارښوونې دي، نو وسیله باید هغه څه وښیي چې تاسو یې مطلب یاست. په nftables کې د پروتوکول سمون څرګند دی، او پوښل شوی بدیل خپله UDP قاعده ترلاسه کوي. دواړه قواعد یو بل ته څنګه وساتئ ترڅو جوړه په کتنه کې ښکاره وي.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptد غلط تشخیص د جبران لپاره د هرې قاعدې پراخولو هڅې سره مقاومت وکړئ. د ESP پروتوکول لپاره په هر انټرفیس هر څه اجازه ورکول، یا له هرې ځایه هرې ځای ته د UDP اجازه، نښه سمه کوي او هغه کنټرول لرې کوي چې تاسو یې د جوړولو هڅه کوله. کله چې بڼه معلومه شي تنګ ملاتړ شوی بهیر تقریبا تل کافي وي.
په پای کې، طبقې سمې وساتئ کله چې تونل کار کوي او اپلیکیشن نه. هغه کڅوړې چې ګیټ وې ته رسیږي لا هم لیږد، د بېرته راستنېدو لار او هغه پالیسي ته اړتیا لري چې دوی ومني، او له دې هېڅ یو د ESP قاعدې څخه نه ښودل کیږي. ورکه شوې پورټ یوه ځانګړې ناکامي تشریح کوي، نه هر IPsec ناکامي. د قاعدې سمون او د لارښوونې کتنه دوه جلا پایلې وساتئ.
هغه بڼه ولیکئ چې تاسو لیدلې، هغه پروتوکول قاعده چې تاسو ورزیاته کړه او هغه شمارونکی چې وروسته مو ولید. درې کرښې، او بل کس کولای شي د غرمې پرځای په یوه دقیقه کې د نوم تشې تېروتنه د لارښوونې تېروتنې څخه بېله کړي.