ESP යනු IP ප්‍රොටොකෝලය 50 ය, TCP පෝටය 50 නොවේ: අවසර දිය යුත්තේ කුමක්ද
ප්‍රොටොකෝල අංක සහ පෝට අංක වෙනස් නාම අවකාශ වේ. TCP පෝට 50 සඳහා රීතියක් කිසිවකට අවසර නොදේ, සහ NAT ට්‍රාවර්සල් ESP අගය UDP 4500 වෙත ගෙන යයි.
ෆයර්වෝල් පෝරම TCP පෝටයක් ඉල්ලයි, සහ පැහැදිලි ඇතුළත් කිරීම 50 වේ. එම ඇතුළත් කිරීම කිසිවකට අවසර නොදේ, මන්ද ESP යනු IP ප්‍රොටොකෝල අංක 50 වන අතර ප්‍රොටොකෝල අංක පෝට නොවේ. නාම අවකාශ දෙක බෙදාගන්නේ කුඩා පූර්ණ සංඛ්‍යා පමණක් වන අතර වෙන කිසිවක් නොවේ, සහ IKE අවසන් වන තෙක් සහ ආරක්ෂිත ගමනාගමනය කිසිදා නොපැමිණෙන තෙක් දෝෂය නොපෙනී පවතී.
කුඩා සංඛ්‍යා බෙදාගන්නා නාම අවකාශ දෙකක්
IP ශීර්ෂයක් ඊළඟට එන දේ නම් කරන ප්‍රොටොකෝල ක්ෂේත්‍රයක් දරයි: TCP සඳහා 6, UDP සඳහා 17, ICMP සඳහා 1, ESP සඳහා 50, AH සඳහා 51. TCP හෝ UDP ශීර්ෂයක් පෝට අංක දරයි, ඒවා ගමනාන්ත සත්කාරකයේ ක්‍රියාවලියක් තෝරයි. ප්‍රොටොකෝලය 50 සහ TCP පෝටය 50 සම්බන්ධයක් නැති අගයන් වේ, නමුත් සංවාද කොටුවකට ඒවා හුවමාරු කළ හැකි ලෙස පෙනිය හැක.
එබැවින් පෝට යොමු කිරීමේ රීතියකට ස්වදේශීය ESP ප්‍රකාශ කළ නොහැක. යොමු කිරීමට ESP ගමනාන්ත පෝටයක් නොමැත, සහ පෝට රීති පමණක් තේරුම් ගන්නා උපකරණයකට එම පැකට්ටුව සඳහා කිසිදු වචන මාලාවක් නොමැත. නිවැරදි රීතිය ඒ වෙනුවට IP ප්‍රොටොකෝලය නම් කරයි. ඕනෑම පෝට සංවාදයක් එම පැකට්ටුව සඳහා වැරදි මෙවලමකි.
ව්‍යාකූලත්වයට දෙවන අර්ධයක් ද ඇත. පැකට්ටුව සංකේතනය කර ඇති විට, එහි ඇතුළත සියල්ල අපැහැදිලි වේ, මුල් සම්බන්ධතාවයේ TCP ශීර්ෂය ඇතුළුව. එම පැකට්ටුවේ පෝට පරීක්ෂා කරන ෆයර්වෝලය පිටත ශීර්ෂය දෙස බලයි, ස්වදේශීය අවස්ථාවේ එහි පරීක්ෂා කිරීමට පෝට නොමැත.
ස්වදේශීය ESP, පසුව කැප්සියුල කළ විකල්පය
ස්වදේශීය ESP සෘජුවම IP ප්‍රොටොකෝලයක් ලෙස ගෙන යයි, එය සමානව කාර්යක්ෂම සහ අපහසු වේ. අමතර ශීර්ෂයක් නොමැති බැවින් කාර්යක්ෂම වන අතර, ලිපින සහ පෝට පරිවර්තනය කරන ඕනෑම උපකරණයකට එය නිරීක්ෂණය කළ නොහැකි බැවින් අපහසු වේ. NAT ට්‍රාවර්සල් එය විසඳීමට ඇත: ESP පැකට්ටුව UDP තුළ ඔතා, පරිවර්තකයාට නැවත ලිවීමට පෝට ලබා දෙයි.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
ආකෘති දෙකම එකම දත්ත නාලිකාවේ විකල්ප යෙදවීම් වන අතර එකක ස්තර නොවේ. ස්වදේශීය ESP අවසර දීමෙන් කැප්සියුල කළ ආකෘතියට අවසර නොලැබේ, සහ UDP 4500 අවසර දීමෙන් ස්වදේශීය ගමනාගමනයට අවසර නොලැබේ, එබැවින් රීති කට්ටලය යෙදවීමට ගැළපිය යුතු අතර අහම්බෙන් දෙකම ආවරණය නොකළ යුතුය.
මෙහි හඳුනා ගැනීම ද වැදගත් වේ. අන්ත ලක්ෂ්‍ය සාකච්ඡාව අතරතුර ආකෘති අතර තීරණය කරයි, සහ මාරුවීම සාමාන්‍යයෙන් සිදුවන්නේ ඒවා අතර NAT හඳුනා ගන්නා විටය. එබැවින් උමං ස්ථාපිත කිරීමෙන් පසු වෙනස් වන මාර්ගයක් ඔබේ රීති කිසිදා ආවරණය නොකළ නාම අවකාශයකට ගමනාගමනය ගෙන යා හැක.
සම්බන්ධතාවය ඇත්ත වශයෙන්ම භාවිතා කරන ආකෘතිය කියවන්න
ෆයර්වෝලයෙන් අනුමාන කරනවාට වඩා අන්ත ලක්ෂ්‍යයෙන් අසන්න. Linux හි තත්ත්ව සටහන සංගමය UDP කැප්සියුලනය භාවිතා කරන්නේද සහ කුමන පෝට සම්බන්ධද යන්න වාර්තා කරයි. පැකට් ග්‍රහණය කිරීම එම ප්‍රශ්නයට කම්බියෙන් පිළිතුරු දෙයි, සහ දෙකම රීති කට්ටලයක් කියවා බලාපොරොත්තු වීමට වඩා වේගවත් ය.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'පළමු විධානය NAT ට්‍රාවර්සල් භාවිතා කරන විට කැප්සියුලන වර්ගයක් පෙන්වයි, නොකරන විට කිසිවක් නොපෙන්වයි. දෙවැන්න ආකෘති දෙකෙන් කවරක් ඇත්ත වශයෙන්ම අතුරුමුහුණත හරහා ගමන් කරන්නේද යන්න පෙන්වයි, සහ එය කඩදාසි මත නිවැරදි ලෙස පෙනෙන වින්‍යාසයක් පිළිබඳ තර්ක අවසන් කරයි.
ප්‍රතිවිරුද්ධ සාක්ෂ්‍ය එකම පියවරට අයත් වේ. ශූන්‍ය ගැළපීම් වාර්තා කරන රීතියක් ඔබට කියන්නේ පැකට්ටුව කිසිදා එයට ළඟා නොවූ බවයි, සහ එය ෆයර්වෝලයේ නොව, මාර්ගගත කිරීමේ හෝ තේරීම්කරුවාගේ ප්‍රශ්නයකි.
පසුව පාලන නාලිකාව වෙන වෙනම තහවුරු කරන්න. IKE ට එහිම පෝට සහ එහිම ලොග ඇත, සහ දත්ත නොමැතිව සම්පූර්ණ වූ සාකච්ඡාව මෙම ලිපිය කියන බෙදීමයි.
රීතිය නිවැරදි නාම අවකාශයේ ලියන්න
ප්‍රොටොකෝල රීතිය සහ පෝට රීතිය වෙනස් උපදෙස් වේ, එබැවින් මෙවලම ඔබ අදහස් කරන දෙය ප්‍රකාශ කළ යුතුය. nftables හි ප්‍රොටොකෝල ගැළපීම පැහැදිලි වේ, සහ කැප්සියුල කළ විකල්පයට එහිම UDP රීතිය ලැබේ. රීති දෙක අසලින් තබන්න, සමාලෝචනයේදී යුගලය පෙනෙන පරිදි.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptවැරදි රෝග විනිශ්චයක් සඳහා වන්දි ගෙවීමට කිසිදු රීතියක් පුළුල් කිරීමේ පරීක්ෂාවට එරෙහි වන්න. සෑම අතුරුමුහුණතකම ESP ප්‍රොටොකෝලය සඳහා සියල්ලට අවසර දීම, හෝ කොහේ සිට කොහේටත් UDP අවසරය, රෝග ලක්ෂණයක් සුවපත් කර ඔබ වින්‍යාස කිරීමට උත්සාහ කළ පාලනය ඉවත් කරයි. ආකෘතිය දැනගත් පසු පටු ආධාරක ගලායාම සෑම විටම පාහේ ප්‍රමාණවත් වේ.
අවසාන වශයෙන්, උමං ක්‍රියා කරන නමුත් යෙදුම ක්‍රියා නොකරන විට ස්තර කෙළින් තබන්න. ගේට්වේ වෙත ළඟා වන පැකට්ටුවලට තවමත් යොමු කිරීම, ආපසු මාර්ගය සහ ඒවා පිළිගන්නා ප්‍රතිපත්තියක් අවශ්‍ය වේ, සහ ඒවායින් කිසිවක් ESP රීතියකින් ප්‍රකාශ නොවේ. නැති වූ පෝටය නිශ්චිත අසාර්ථකත්වයක් පැහැදිලි කරයි, සෑම IPsec අසාර්ථකත්වයක් නොවේ. රීති නිවැරදි කිරීම සහ මාර්ගගත පරීක්ෂාව වෙනස් නිගමන දෙකක් ලෙස තබන්න.
ඔබ නිරීක්ෂණය කළ ආකෘතිය, ඔබ එකතු කළ ප්‍රොටොකෝල රීතිය සහ පසුව ඔබ දුටු ගණකය සටහන් කරන්න. පේළි තුනක්, සහ ඊළඟ පුද්ගලයාට දහවලක් වෙනුවට මිනිත්තුවකින් නාම අවකාශ දෝෂය මාර්ගගත දෝෂයෙන් වෙන් කර ගත හැක.