IKE د TCP له لارې 4500: د پورټ له قاعدې مخکې دواړه غاړې وګورئ
د TCP انکپسولیشن دواړه غاړې خبرې اترې کوي، د فایر وال قاعده یې نه ورکوي۔ د اورېدونکي کتنه، نیول او څلور د منلو پړاوونه په ترتیب سره ترسره کړئ۔
د ملاتړ ټکټونه ډیری وخت هغه وخت راځي چې د فایر وال بدلون لا دمخه تصویب شوی وي او تونل لا هم د پورته کیدو انکار کوي۔ دا هغه تمه شوې پایله ده چې کله یوازې یوه غاړه دا ځانګړتیا ولري: د RFC 9329 له مخې TCP انکپسولیشن باید په دواړو غاړو کې پلي او تنظیم شي، او هوکړه د اړیکې دننه د هر محافظت شوي ترافیک له حرکت مخکې کیږي۔ د پورټ خلاصول د اورېدونکي اعلان کول دي چې ممکن نه وي، او بله غاړه کې د سمون کونفيګریشن پرته اورېدونکی اړیکه مني او بیا غلی کیږي۔ لاندې ترتیب ارزانه کتنې لومړی ږدي۔
پوه شئ چې انتخاب په حقیقت کې څه اضافه کوي
اصلي IPsec کوډ شوي پیلیډونه داسې لېږي: IP پروتوکول 50، د اجازې وړ پورټ شمیرې پرته۔ NAT ټراورسال هغه پاکټونه په UDP کې نغاړي او پورټ 4500 ته یې لېږي، او له همدې امله دومره فایر وال قواعد هغه پورټ یادوي۔ RFC 9329 د جریان استازیتوب زیاتوي: IKE او IPsec پاکټونه دواړه د یو TCP اړیکې دننه، معمولاً پورټ 4500 ته سفر کوي۔
جریان د ویب خدمت نه دی۔ 4500 ته TCP اړیکه د HTTP، TLS یا د پروکسي دوستانه توب په اړه هیڅ نه وايي، او په لار کې HTTP پروکسي معمولاً د لېږلو پرځای چوکاټ ماتوي۔
د فایر وال له لمس کولو مخکې مخکینۍ کتنه
معیار TCP د UDP لاره غورځونکو شبکو لپاره د بیک اپ په توګه ږدي، نه د هغې د بدیل په توګه۔ له هر پلورونکي څخه دوه حقیقتونه ترلاسه کړئ: د ځانګړتیا دقیق نوم او هغه نسخه چې د خپل مالکیت ډول پرځای RFC 9329 پلي کوي۔ لکه IPsec over TCP نومونه د بې اړیکې ډیزاینونو لپاره کارول شوي، نو د سند حواله او هغه کونفيګریشن کیلي وغواړئ چې دا روښانه کوي۔ له دواړو ځوابونو پرته د تار په سمون کې هیڅ مه فرض کوئ۔
دا په هغه لابراتوار کې ثابت کړئ چې دواړه غاړې ستاسو وي۔ هغه ګېټ وې چې TCP 4500 ته ځواب وايي خو IKE هېڅکله نه بشپړوي، بله غاړه کې د سمون انکپسولیشن پرته د اورېدونکي نښه ده، او هلته یې موندل د بدلون کړکۍ پر مهال موندلو څخه ډېر ارزانه دي۔
د ځواب ورکوونکي په غاړه: څه اورېدل کیږي
له ساکټ پیل کړئ۔ ss -ltnp | grep 4500 ښیي چې TCP اورېدونکی شته که نه او کوم بهیر یې مالک دی۔ د کرښې نه شتون څیړنه په شبکه کې نه، بلکې د ګېټ وې کونفيګریشن کې پای ته رسوي۔
که ساکټ شته، د مراجعې له غاړې اټکل کولو پرځای لاس نیول وګورئ: tcpdump -ni any 'tcp port 4500'۔ بشپړ شوي درې اړخیز لاس نیول او بیا غلې چوپتیا مانا دا ده چې جریان ومنل شو او د هغې دننه IKE تبادله ناکامه شوه، پداسې حال کې چې بې ځوابه SYN فلټر کولو یا غلط پتې ته اشاره کوي۔
دواړه چې ګډ نه شي، په هماغه نیول کړکۍ کې له UDP لارې سره پرتله کړئ: tcpdump -ni any 'udp port 4500 or proto 50'۔ په 50 پروتوکول یا UDP پورټ 4500 کې ترافیک پداسې حال کې چې تاسو فکر کوئ TCP کارول کیږي، مانا دا ده چې دواړو غاړو هېڅکله د بیک اپ په اړه هوکړه نه ده کړې۔ که شونې وي په ګېټ وې هم ضبط کړئ، ځکه چې د مراجعې غاړې ضبط نشي کولی ښیي چې لرې غاړې څه لېږلي۔
په څلورو جلا پړاوونو کې ومنئ
پورته کیدل څلور پایلې وګڼئ۔ هر یو د بېل دلیل له امله ناکام کیدای شي، او یوازې یو پاس یا فیل پټوي چې کوم یو و، نو په لومړي ناکام پړاو کې ودرېږئ او بیا له سره پیل کړئ۔
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
څلورم پړاو هغه دی چې پرېښودل کیږي۔ شته ناسته ممکن په کیش شوي حالت کار ته دوام ورکړي، نو د بدلون له بندولو مخکې د ګېټ وې شاته کوربه ته نوی اړیکه خلاصه کړئ۔ که دویم پړاو ناکام شي او لومړی تېر شي، اختلاف په وړاندیز یا انکپسولیشن ترتیب کې دی، په فایر وال کې نه۔
بیرته تګ، او د هغې د خلاص ساتلو لګښت
د بدلون څخه مخکې د بیرته اخیستلو پلان جوړ کړئ: په دواړو غاړو کې د انکپسولیشن اختیار بند کړئ او تایید کړئ چې تونل د UDP له لارې بیرته راځي۔ که بیک اپ بیا اړین شي، د یوې بیاکتنې دورې لپاره TCP قاعده وساتئ، بیا یې لرې کړئ۔ په 4500 کې نه کارول شوی اورېدونکی د عملیاتي ارزښت پرته سطحه ده۔
کله چې ریښتینی کار پیل کړ، د فعالیت نښه وګورئ۔ TCP په TCP کې د تایید طبقې زیاتوي چې په یوازې یو زیان کې بند پاتې کیږي، او هغه جریانونه چې یوه اړیکه شریکوي کیدای شي یو بل بند کړي، نو د ping پرځای هغه اپلیکیشن وڅارئ چې تونل به کاروي۔
د منلو لیست
په دواړو غاړو کې د ځانګړتیا نوم او نسخه، په ځواب ورکوونکي کې اورېدونکی، هغه ضبط چې بشپړ لاس نیول ښیي، او د وخت نښو سره ثبت شوي څلور پړاوونه تایید کړئ۔ د راتلونکي انجینر لپاره چې ولې TCP هلته دی، د بدلون ریکارډ کې د بیک اپ دلیل زیات کړئ۔ د اړتیا مخکې د بیرته تګ تمرین وکړئ۔
که هر پړاو ناکام شي، یوازې هغه پړاو سم کړئ۔ د ترانسپورت ستونزې تعقیب لپاره د سایفر سویټ یا هویت تنظیمات بدلول معمولاً لومړي ته دویم، بې اړیکې ناکامي زیاتوي۔