TCP මත IKE 4500: පෝට් නීතියට පෙර දෙකෙළවරම පරීක්ෂා කරන්න
TCP ආවරණය දෙකෙළවරම සාකච්ඡා කරයි, ගිනිකොන නීතියක් එය ලබා නොදේ. සවන්දෙන්නා පරීක්ෂාව, ග්රහණය සහ පිළිගැනීමේ අදියර හතර අනුපිළිවෙලින් ක්රියාත්මක කරන්න.
සහාය ටිකට්පත් බොහෝ විට පැමිණෙන්නේ ගිනිකොන වෙනස්කම දැනටමත් අනුමත වී ඇති අතර උමග තවමත් ඉහළට ඒම ප්රතික්ෂේප කරන විටය. සුවිශේෂය එක් කෙළවරක පමණක් ඇති විට මෙය අපේක්ෂිත ප්රතිඵලයයි: RFC 9329 අනුව TCP ආවරණය දෙකෙළවරම ක්රියාත්මක කර වින්යාස කළ යුතු අතර, කිසිදු ආරක්ෂිත රථවාහනයක් චලනය වීමට පෙර එකඟතාව සම්බන්ධතාවය තුළම සිදු වේ. පෝට් එකක් විවෘත කිරීම නොපවතින සවන්දෙන්නෙකු ප්රචාරණය කිරීමකි, අනෙක් පැත්තේ ගැළපෙන වින්යාසයක් නැති සවන්දෙන්නෙක් සම්බන්ධතාවය පිළිගෙන පසුව නිහඬ වේ. පහත අනුපිළිවෙල ලාභ පරීක්ෂණ මුලින් තබයි.
විකල්පය ඇත්තටම එකතු කරන්නේ කුමක්දැයි දැනගන්න
මූලික IPsec සංකේතනය කළ පේලෝඩ මෙසේ රැගෙන යයි: IP ප්රොටෝකෝලය 50, අවසර දිය යුතු පෝට් අංකයක් නොමැතිව. NAT ට්රාවර්සල් එම පැකට් UDP තුළ ඔතා පෝට් 4500 වෙත යවයි, එබැවින් බොහෝ ගිනිකොන නීති එම පෝට් සඳහන් කරයි. RFC 9329 ධාරා නිරූපණයක් එකතු කරයි: IKE සහ IPsec පැකට් දෙකම එකම TCP සම්බන්ධතාවයක් තුළ, සාමාන්යයෙන් පෝට් 4500 වෙත ගමන් කරයි.
ධාරාව වෙබ් සේවාවක් නොවේ. 4500 වෙත TCP සම්බන්ධතාවය HTTP, TLS හෝ ප්රොක්සි මිත්රත්වය ගැන කිසිවක් නොකියයි, මාර්ගයේ HTTP ප්රොක්සිය සාමාන්යයෙන් එය රැගෙන යාම වෙනුවට රාමුකරණය බිඳ දමයි.
ගිනිකොන ස්පර්ශ කිරීමට පෙර පූර්ව පරීක්ෂාව
ප්රමිතිය TCP යනු UDP මාර්ගය අත්හරින ජාල සඳහා උපස්ථයක් ලෙස තබයි, එහි ප්රතිස්ථාපනයක් ලෙස නොවේ. සෑම සැපයුම්කරුවෙකුගෙන්ම කරුණු දෙකක් ලබා ගන්න: විශේෂාංගයේ නිශ්චිත නම සහ හිමිකාරී ප්රභේදයක් වෙනුවට RFC 9329 ක්රියාත්මක කරන අනුවාදය. IPsec over TCP වැනි ලේබල අසම්බන්ධ නිර්මාණ සඳහා භාවිත කර ඇත, එබැවින් ලේඛන යොමුව සහ එය සක්රීය කරන වින්යාස යතුර ඉල්ලන්න. පිළිතුරු දෙකම නොමැතිව වයර් ගැළපුම ගැන කිසිවක් උපකල්පනය නොකරන්න.
දෙකෙළවරම ඔබේ වන පර්යේෂණාගාරයක මෙය ඔප්පු කරන්න. TCP 4500 ට පිළිතුරු දෙන නමුත් IKE කිසි විටෙකත් සම්පූර්ණ නොකරන ගේට්වේ අනෙක් පැත්තේ ගැළපෙන ආවරණයක් නැති සවන්දෙන්නෙකුගේ සලකුණයි, එය එහි සොයා ගැනීම වෙනස්කම් කවුළුවේදී සොයා ගැනීමට වඩා බෙහෙවින් ලාභදායීය.
ප්රතිචාර දෙන්නා අත: යමක් සවන් දෙනවාද
සොකට් එකෙන් පටන් ගන්න. ss -ltnp | grep 4500 TCP සවන්දෙන්නෙක් සිටීද සහ කුමන ක්‍රියාවලියක් එය හිමිකර ගනීද යන්න පෙන්වයි. රේඛාවක් නොමැති වීම විමර්ශනය ජාලයේ නොව ගේට්වේ වින්යාසයේ අවසන් කරයි.
සොකට් එක තිබේ නම්, සේවාදායක පැත්තෙන් අනුමාන කරනවා වෙනුවට අත්සන් කිරීම නරඹන්න: tcpdump -ni any 'tcp port 4500'. සම්පූර්ණ වූ ත්රිමාර්ග අත්සන් කිරීමකින් පසු නිහඬතාවය යනු ධාරාව පිළිගත් බවත් එහි ඇති IKE හුවමාරුව අසාර්ථක වූ බවත්ය, නමුත් පිළිතුරක් නැති SYN පෙරහැර හෝ වැරදි ලිපිනය පෙන්වා දෙයි.
දෙකම ගැටෙන්නේ නැති වන පරිදි එකම ග්‍රහණ කවුළුවේ UDP මාර්ගය සමඟ සසඳන්න: tcpdump -ni any 'udp port 4500 or proto 50'. TCP භාවිත වන බව ඔබ සිතන විට ප්රොටෝකෝලය 50 හෝ UDP පෝට් 4500 ට රථවාහන තිබීම යනු දෙකෙළවරම උපස්ථය ගැන කිසි විටෙකත් එකඟ නොවූ බවයි. හැකි නම් ගේට්වේ එකේද ග්රහණය කරන්න, මන්ද සේවාදායක පැත්තේ ග්‍රහණයකට දුර කෙළවර යැවූ දේ පෙන්විය නොහැක.
වෙන් වූ අදියර හතරකින් පිළිගන්න
ඉහළ ඒම ප්රතිඵල හතරක් ලෙස සලකන්න. එක් එක් වෙනස් හේතුවකින් අසාර්ථක විය හැක, තනි සමත් හෝ අසමත් එකක් කුමක්දැයි සඟවයි, එබැවින් අසාර්ථක වන පළමු අදියරේ නවතින්න සහ නැවත ඉහළින් පටන් ගන්න.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
සිව්වන අදියර වන්නේ මඟ හරින අදියරයි. පවතින සැසියක් හැඹිලි කළ තත්ත්වයේ දිගටම ක්‍රියා කළ හැක, එබැවින් වෙනස්කම වසා දැමීමට පෙර ගේට්වේ පිටුපස ඇති සත්කාරකයට නව සම්බන්ධතාවයක් විවෘත කරන්න. දෙවන අදියර අසාර්ථක වී පළමු අදියර සමත් වුවහොත්, එකඟ නොවීම යෝජනාවේ හෝ ආවරණ සැකසුමේ පවතී, ගිනිකොන තුළ නොවේ.
ආපසු හැරවීම, සහ එය සක්රීයව තැබීමේ පිරිවැය
වෙනස්කමට පෙර අවලංගු කිරීම සැලසුම් කරන්න: දෙකෙළවරම ආවරණ විකල්පය අක්රීය කර උමග UDP හරහා ආපසු එන බව තහවුරු කරන්න. උපස්ථය නැවත අවශ්ය වුවහොත් සමාලෝචන චක්රයක් සඳහා TCP නීතිය තබා ගෙන පසුව ඉවත් කරන්න. 4500 හි භාවිත නොකළ සවන්දෙන්නෙක් කිසිදු මෙහෙයුම් වටිනාකමක් නැති මතුපිටකි.
සැබෑ වැඩක් රැගෙන යාමට පටන් ගත් විට කාර්ය සාධන සලකුණ නරඹන්න. TCP තුළ TCP තනි පාඩුවකදී නතර වන තහවුරු කිරීමේ ස්තර එකතු කරයි, එක් සම්බන්ධතාවයක් බෙදා ගන්නා ධාරා එකිනෙක අවහිර කළ හැක, එබැවින් ping වෙනුවට උමග භාවිත කරන යෙදුම මනින්න.
පිළිගැනීමේ ලැයිස්තුව
දෙකෙළවරම විශේෂාංගයේ නම සහ අනුවාදය, ප්රතිචාර දෙන්නා අත සවන්දෙන්නා, සම්පූර්ණ අත්සන් කිරීමක් පෙන්වන ග්රහණය, සහ කාල මුද්රා සමඟ වාර්තා කළ අදියර හතර තහවුරු කරන්න. ඊළඟ ඉංජිනේරුවාට TCP ඇයි දැයි දැනගැනීමට වෙනස්කම් වාර්තාවට උපස්ථයේ හේතුව එකතු කරන්න. අවශ්ය වීමට පෙර ආපසු හැරවීම පුරුදු කරන්න.
කිසිදු අදියරක් අසාර්ථක වුවහොත් එම අදියර පමණක් අලුත්වැඩියා කරන්න. ප්රවාහන ගැටලුවක් පසුපස හඹා යාමට සයිෆර් කට්ටලය හෝ අනන්යතා සැකසුම් වෙනස් කිරීම සාමාන්යයෙන් පළමු එකට ඉහළින් දෙවන, අසම්බන්ධ අසාර්ථකත්වයක් එකතු කරයි.