IKEv2 UDP 500 සහ 4500 භාවිත කරයි: දත්ත රැගෙන යන්නේ කුමන පෝට් එකද?

ෆයර්වෝලයේ UDP 500 විවෘත කිරීමෙන් ටනලයට සාකච්ඡා කළ හැකි අතර, පසුව සම්බන්ධතාවය ට්‍රැෆික් යැවීම නවත්වයි. පෝට් ලැයිස්තුව අසම්පූර්ණ විය, වැරදි නොවේ. IKEv2 එක් සොකට් එකකින් ආරම්භ වී බොහෝ සැබෑ යෙදවුම්වල තවත් එකකින් ඉදිරියට යයි, අතර පේලෝඩය පෝට් එකක් නොවිය හැක. අදියර පිළිවෙලින් කියවීමෙන් කුමන නීතිය අස්ථානගත වී ඇත්ද යන්න පැහැදිලි වේ.

පෝට් දෙකක්, කාර්යයන් දෙකක්

IKEv2 UDP 500 මත යතුරු හුවමාරුවකින් ආරම්භ වන අතර, එහිදී පාර්ශව දෙක තමන් සත්‍යාපනය කර ටනලය සඳහා ආරක්ෂක සංගමයක් ස්ථාපිත කරයි. ඊළඟ දත්ත මාර්ගය වෙනම කරුණකි: එය පෝට් එකක් නොව IP ප්‍රොටෝකෝල අංකයක් වන ස්වදේශීය ESP විය හැක, නැතහොත් 4500 මත UDP තුළ ඇතිරූ ට්‍රැෆික් විය හැක. ෆයර්වෝල් සමාලෝචනයකදී මේවා වෙන් කර තැබීම යනු සාකච්ඡා කරන ටනලය සහ ක්‍රියා කරන ටනලය අතර වෙනසයි. එක් සොකට් එකක් පාලනය ද අනෙක පේලෝඩය ද රැගෙන යයි.

එබැවින් 500 ට පමණක් අවසර දෙන නීතිය මුළු ප්‍රොටෝකෝල පවුල තුළම වඩාත් ව්‍යාකූල රෝග ලක්ෂණය ඇති කරයි: සාකච්ඡාව සාර්ථක වන අතර ප්‍රයෝජනවත් කිසිවක් අනුගමනය නොකරයි. තත්ත්වය මිතුරෙකු පෙන්වයි, ලොගය ස්ථාපිත IKE SA එකක් පෙන්වයි, එහෙත් යෙදුම තවමත් කාලය ඉකුත් වේ. අස්ථානගත වූ අවසරය දැන් සාර්ථක වූ ප්‍රවාහයට වඩා වෙනස් ප්‍රවාහයකට අයත් වේ.

4500 කිසිසේත් පවතින්නේ ඇයි

බොහෝ NAT උපාංග TCP හෝ UDP හැර වෙනත් ප්‍රොටෝකෝලයක් යැවිය නොහැක, සමහරක් ESP හි අඛණ්ඩතා පරීක්ෂාව බිඳ දමන ආකාරයෙන් ලිපින නැවත ලියයි. ESP UDP තුළ ඇතිරීමෙන් ගැටලු දෙකම විසඳේ, නමුත් අමතර ශීර්ෂයක් සහ අවසර දිය යුතු දෙවන පෝට් එකක් වැය වේ. එම ඇතිරීම තමයි දෙවන පෝට් එක පැවතීමට හේතුව.

NAT හඳුනාගත් පසු IKE ම ද 4500 ට මාරු වේ, එවිට සියලු ට්‍රැෆික් පරිවර්තකය හරහා එකම මාර්ගයක් බෙදා ගනී. ESP නොවන බයිට් හතරක සලකුණ එම සොකට් එකේ පාලන පණිවිඩ දත්තවලින් වෙන් කරයි. මෙම මාරුව ප්‍රොටෝකෝල තීරණයක් මිස පරිපාලක කැමැත්තක් නොවේ.

මූල පෝට් එක වෙනස් වන්නේ කොහේද

පරිවර්තකයට සේවාදායකයාගේ මූල පෝට් එක නැවත ලිවිය හැක, එබැවින් සේවාදායකයේ දකින ටුපල් සේවාදායකයාගේ ටුපල් සමඟ නොගැලපේ. නීතියක් නොසලකා හරින බව නිගමනය කිරීමට පෙර සෑම NAT පැනීමකම දෙපැත්ත බලන්න. සේවාදායකයේ පමණක් ගැටලු සොයා බැලීමෙන් නිවැරදි ලෙස පෙනෙන නමුත් අසාර්ථක වන නීතියක් ලැබිය හැක.

MOBIKE සහාය දෙන ක්‍රියාත්මක කිරීම් NAT හඳුනා නොගෙන ද 4500 ට යා හැක, සමහර යෙදවුම් එම මාර්ගය හිතාමතාම බලවත් කරයි. එබැවින් 4500 දැකීම තීරණයක සාක්ෂියක් මිස ගෘහ රවුටරයක සාක්ෂියක් නොවේ.

සෑම මායිමකම ප්‍රවාහ දෙකම පරීක්ෂා කරන්න

මායිම් තුන හරහා යන්න: සේවාදායක ජාලය, ඕනෑම අතරමැදි ෆයර්වෝලයක්, සහ සේවාදායකය. එක් එක් අයට යෙදවුම වාර්තා කරන ප්‍රවාහ අවශ්‍ය වේ, වෙනත් අවස්ථාවක් ගැන ලිපියක ප්‍රවාහ නොවේ.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ෆයර්වෝල් ලැයිස්තුවේ ESP පේළිය ප්‍රොටෝකෝල ගැලපීමකි, එබැවින් පෝට් නීතියක් එය කිසිදා ආවරණය නොකරයි. ක්‍රියාකරු අභිරුචි පෝට් එකක් භාවිත කරන්නේ නම්, දෙකෙළවරේම වාර්තා කළ වින්‍යාසය අනුගමනය කරන්න, මන්ද සේවාදායකයෙකු හුරුපුරුදු අංකයක් තෝරාගෙන සේවාදායකයේ අසන්නෙකු සෑදිය නොහැක.

සාකච්ඡාව නැවතුණේ කොහේද සහ ළමා ආරක්ෂක සංගමයක් ස්ථාපිත වූයේද යන්න සටහන් කරන්න, මන්ද එම යුගලය අවහිර කළ මාර්ගය සත්‍යාපන හෝ ප්‍රතිපත්ති දෝෂයකින් වෙන් කරයි. පසුව සේවාදායක සත්‍යාපනය සක්‍රීයව ටෙස්ට් නැවත කරන්න, මන්ද ළඟා වීම සත්‍යාපනය නොවේ. එම අවසාන පියවර අවසර දුන් පෝට් එක විශ්වාසනීය මිතුරෙකුගෙන් වෙන් කරයි.