ولې L2TP/IPsec د IPsec تر څنګ UDP 1701 ته اړتیا لري

هغه دیوالونه چې IKE او ESP ته اجازه ورکوي خو UDP 1701 ته نه، L2TP اړیکې په داسې ډول ماتوي چې د اعتبارنامې ستونزه ښکاري۔ لامل دا دی چې L2TP دویم پروتوکول دی چې د لومړي په داخل کې سفر کوي۔ IPsec تبادله لیږدوي او تصدیقوي، او L2TP خپل ټانل د UDP 1701 له پاسه چلوي، کوم چې سیمه ییز سټک لا هم باید وسپاري۔ د هر سرلیک د ښکارېدو ځای پوهیدل څرګندوي چې کوم وسیله کوم قانون ته اړتیا لري۔

دوه پروتوکولونه، دوه پورټ سیټونه

د L2TP/IPsec اړیکه پر UDP 500 IKE، چېرې چې ژباړه وي پر UDP 4500 د NAT تېرېدنه، او چېرې چې نه وي د IP پروتوکول 50 په توګه ESP کاروي۔ L2TP پخپله پر UDP 1701 د ټانل پروتوکول دی، او وروسته له هغه چلېږي چې IPsec سیال تصدیق کړي۔ دواړه نیمایي په بېلابېلو لارو ناکامېږي، او هغه لاګ کرښې چې د دوی راپور ورکوي له بېلابېلو برخو راځي۔ یوازې لومړۍ نیمایي پوښونکی د قوانینو سیټ داسې اړیکه جوړوي چې خبرې اترې کوي او بیا د ټانل په پړاو کې مري۔

د پورټ شمېرې د لېږد پای ټکي بیانوي، او ESP هېڅکله پورټ نه دی۔ همدا لامل دی چې یوازې TCP او UDP قوانین وړاندې کوونکی د اور وژنې دیوال مخونه نشي کولی بشپړ IPsec تګلاره بیان کړي۔ پروتوکول 50 باید د پروتوکول په توګه اجازه ولري، او هغه قانون چې یوازې UDP یادوي هېڅکله ورسره نه برابریږي۔

پوښ پورټ تشریح کوي

پر تار، د L2TP/IPsec اړیکه معمولاً پر 500 IKE او پر 4500 پوښل شوی ESP ښیي۔ د UDP 1701 سرلیک د خوندي بار دننه ناست دی، همدا لامل دی چې د باندني مخ پراخه نیول هغه نه ښیي۔ سیمه ییز کوربه لا هم باید هغه ډاټاګرام L2TP ډیمون ته وسپاري، او سپارل د کپسول پرانیستلو وروسته کېږي۔ له همدې امله د 1701 قانون د پای ټکي خپلې اور وژنې دیوال ته اړه لري، حتی کله چې هیڅ منځنی بکس هېڅکله پورټ ونه ویني۔

د پروسس کولو ترتیب ډېره ګډوډي تشریح کوي۔ که سټک د کوربه فلټر دمخه IPsec تګلاره پلي کړي، کپسول پرانیستل شوی L2TP بسته د UDP 1701 په توګه سره برابریږي؛ که ترتیب برعکس وي، باندني پورټونه هغه څه دي چې د قوانینو سیټ یې ویني۔ دواړه چلندونه په عمل کې شته، له همدې امله هماغه د قوانینو سیټ په یوه پلیټفارم کار کوي او پر بل ناکامېږي۔

لار په ترتیب سره وګورئ

لومړی باندنی مخ ونیسئ او تایید کړئ چې IKE او پوښل شوی ESP په دواړو لورو حرکت کوي۔ بیا د کپسول پرانیستل شوي ټرافیک لپاره د سیمه ییزې اور وژنې دیوال شمېرونکي وګورئ۔ ترتیب مهم دی، ځکه چې هغه نیول چې هېڅ نه ښیي معنا یې دا ده چې ستونزه د کوربه له پاسه ده۔

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

نیول د تبادلې لومړۍ نیمایي تاییدوي او ښیي چې سیال ځواب وایي که نه۔ د قوانینو لیست ښیي چې د 1701 قانون شته که نه او د هرې غورځولو تګلارې په نسبت چېرته ناست دی۔ د ساکټونو لیست تاییدوي چې L2TP ډیمون تړل شوی او اورېدل کوي، کوم چې هغه خدمت لرې کوي چې هېڅکله پیل شوی نه وي۔ د قانون بدلولو دمخه درې واړه ولولئ، ځکه چې نشتونکی اورېدونکی او فلټر شوی پورټ له کاروونکي څخه یو شان شکایت راوړي۔

پورټ سکن څه نه شي ښودلی

په سم ډول ترتیب شوي سرور باندې د UDP 1701 باندنی سکن معمولاً هېڅ نه راپور کوي، او همدا تمه شوې پایله ده۔ پورټ انټرنیټ ته نه دی خلاص؛ یوازې وروسته له هغه ورته رسېدل کېږي چې IPsec سیال تصدیق کړی وي۔ تړلې پایله د خرابۍ په توګه ګڼل د دې لامل کېږي چې هغه پورټ پرانیستل شي چې باید تړلی پاتې شي۔ سکن د ټانل دننه هومره نه شي لیدلی، څومره چې د اپلیکیشن ټرافیک نه شي لیدلی۔

پرځای یې د یو ریښتیني کلاینټ سره ازموینه وکړئ، او ولولئ چې کوم پړاو ته رسېږي۔ که اړیکه خبرې اترې وکړي او بیا ودرېږي، L2TP ډیمون یا سیمه ییز فلټر شکمن دی؛ که هېڅکله خبرې اترې ونه کړي، باندني پورټونه مسؤل دي۔ همدا یوه وېشنه د دې اړه ډېره اټکلونه لرې کوي چې کوم قانون باید زیات شي، او د پروتوکولونو پرتونو کول یې د رازداره په ځای اټکل وړ ګرځوي۔