IKEv2 د UDP 500 او 4500 کارول کوي: کوم یې ډیټا لیږدوي؟

په فایر وال کې د UDP 500 پرانیستل ټنل ته اجازه ورکوي چې خبرې اترې وکړي، او بیا اړیکه د ټرافیک تېرول بندوي۔ د پورټونو لیست نیمګړی و، غلط نه و۔ IKEv2 په یوه ساکټ پیل کیږي او په ډیرو ریښتینو ځای پرځای کولو کې په بل دوام کوي، پداسې حال کې چې پیلوډ ممکن هیڅ پورټ نه وي۔ د مرحلو په ترتیب لوستل روښانه کوي کوم قاعده ورکه ده۔

دوه پورټونه، دوه دندې

IKEv2 په UDP 500 باندې د کیلي تبادلې سره پیلیږي، چېرته چې دواړه خواوې ځان تصدیق کوي او د ټنل لپاره د امنیت ټولنه جوړوي۔ وروسته د ډیټا لاره جلا مسله ده: دا کیدای شي اصلي ESP وي، چې پورټ نه بلکې د IP پروتوکول شمېره ده، یا په 4500 باندې په UDP کې تړل شوی ټرافیک۔ په فایر وال بیاکتنه کې د دې دواړو جلا ساتل هغه توپیر دی چې د خبرو کوونکي ټنل او کار کوونکي ټنل ترمنځ شته۔ یو ساکټ کنټرول لیږدوي او بل پیلوډ۔

له همدې امله یوازې 500 ته اجازه ورکوونکې قاعده په ټوله پروتوکول کورنۍ کې ترټولو ګډوډونکې نښه رامنځته کوي: خبرې اترې بریالۍ کیږي او هیڅ ګټور نه تعقیبیږي۔ حالت یو همکار ښیي، لاګ تاسیس شوی IKE SA ښیي، او اپلیکیشن بیا هم وخت تیروي۔ ورکه اجازه د هغه جریان څخه جلا جریان پورې اړه لري چې همدا اوس بریالی شو۔

4500 ولې شته

ډیر NAT وسایل نه شي کولای له TCP یا UDP پرته بل پروتوکول ولیږدوي، او ځینې یې پته په داسې ډول بیا لیکي چې د ESP د بشپړتیا کتنه ماتوي۔ ESP په UDP کې تړل دواړه ستونزې حل کوي، خو د اضافي سرلیک او د اجازې وړ دوهم پورټ په لګښت۔ همدا تړل د دوهم پورټ د شتون لامل دی۔

کله چې NAT وپېژندل شي، IKE پخپله هم 4500 ته ځي ترڅو ټول ټرافیک له ژباړونکي څخه یوه لار شریکه کړي۔ د څلورو بایټو نښه چې ESP نه ده، په هغه ساکټ کې کنټرول پیغامونه له ډیټا څخه بیلوي۔ دا بدلون د پروتوکول پرېکړه ده، د مدیر غوره توب نه۔

د سرچینې پورټ چېرته بدلیږي

ژباړونکی کیدای شي د کلاینټ سرچینه پورټ بیا ولیکي، نو هغه ټولګه چې سرور یې ویني د کلاینټ له ټولګې سره سمون نه خوري۔ د هر NAT ټوپ دواړه خواوې وګورئ مخکې لدې چې نتیجه واخلئ چې یوه قاعده له پامه غورځول کیږي۔ یوازې په کلاینټ کې د ستونزې لټون کیدای شي داسې قاعده درکړي چې سمه ښکاري او بیا هم ناکامه شي۔

د MOBIKE ملاتړ کوونکي تطبیقونه کیدای شي پرته لدې چې NAT وپېژندل شي 4500 ته لاړ شي، او ځینې ځای پرځای کول په قصد سره دا لار تحمیلوي۔ نو له همدې امله 4500 لیدل د پرېکړې شاهد دی، د کورني روټر ثبوت نه۔

په هره پوله دواړه جریانونه وګورئ

د دریو پولو څخه تیر شئ: د کلاینټ شبکه، هر منځنی فایر وال، او سرور۔ هر یو ته هغه جریانونه چې ځای پرځای کول یې مستند کوي ورته اړتیا ده، نه د بلې پېښې په اړه د مقالې جریانونه۔

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

په فایر وال لیست کې د ESP کرښه د پروتوکول سمون دی، نو د پورټ قاعده هیڅکله نه یې پوښي۔ که چلونکی دودیز پورټ کاروي، په دواړو سرونو کې مستنده ترتیب تعقیب کړئ، ځکه چې کلاینټ نه شي کولای د پیژندل شوي شمېرې په ټاکلو سرور کې اوریدونکی جوړ کړي۔

ثبت کړئ چې خبرې اترې چېرته ودرېدې او آیا ماشوم امنیتي ټولنه نصب شوه، ځکه چې دا جوړه بنده شوې لار له تصدیق یا پالیسۍ تېروتنې څخه بیلوي۔ بیا ازموینه د سرور تصدیق سره فعال تکرار کړئ، ځکه چې رسیدل تصدیق نه دی۔ هغه وروستی ګام اجازه ورکړل شوی پورټ له باوري همکار څخه بیلوي۔