L2TP/IPsec ට IPsec හැරුණු විට UDP 1701 ද අවශ්ය වන්නේ ඇයි

IKE සහ ESP අවසර දී UDP 1701 අවසර නොදෙන ෆයර්වෝල් L2TP සම්බන්ධතා අක්රමවත් ලෙස කඩා දමයි, එය අක්තපත්ර ගැටලුවක් මෙන් පෙනේ. හේතුව L2TP පළමුවැන්න තුළ ගමන් කරන දෙවන ප්රොටෝකෝලය වීමයි. IPsec හුවමාරුව රැගෙන සත්යාපනය කරයි, L2TP UDP 1701 මත තමන්ගේම උමං මාර්ගයක් ධාවනය කරයි, එය දේශීය ගොඩගැස්ම තවමත් ලබා දිය යුතුය. එක් එක් ශීර්ෂය පෙනෙන තැන දැනගැනීම කුමන උපාංගයට කුමන නියමය අවශ්යද යන්න පැහැදිලි කරයි.

ප්රොටෝකෝල දෙකක්, තොටුපොළ කට්ටල දෙකක්

L2TP/IPsec සම්බන්ධතාවය UDP 500 මත IKE, පරිවර්තනය ඇති තැන UDP 4500 මත NAT තරණය, සහ නොමැති තැන IP ප්රොටෝකෝලය 50 ලෙස ESP භාවිත කරයි. L2TP ම යනු UDP 1701 මත උමං ප්රොටෝකෝලයක් වන අතර IPsec සහකරු සත්යාපනය කිරීමෙන් පසු එය ක්රියා කරයි. දෙකොටසම වෙනස් ආකාරයකින් අසාර්ථක වන අතර ඒවා ගැන වාර්තා කරන ලොග් පේළි විවිධ සංරචකවලින් පැමිණේ. පළමු භාගය පමණක් ආවරණය කරන නියම කට්ටලයක් සාකච්ඡා කර පසුව උමං අවස්ථාවේ මිය යන සම්බන්ධතාවක් ඇති කරයි.

තොටුපොළ අංක ප්රවාහන අන්ත ලක්ෂ්ය විස්තර කරන අතර ESP කිසිසේත් තොටුපොළක් නොවේ. එබැවින් TCP සහ UDP නියම පමණක් ලබා දෙන ෆයර්වෝල් අතුරුමුහුණතකට සම්පූර්ණ IPsec ප්රතිපත්තියක් ප්රකාශ කළ නොහැක. ප්රොටෝකෝලය 50 ප්රොටෝකෝලයක් ලෙස අවසර දිය යුතු අතර UDP පමණක් සඳහන් කරන නියමයක් කිසිදා එයට නොගැළපෙනු ඇත.

ආවරණය තොටුපොළ පැහැදිලි කරයි

රැහැන මත, L2TP/IPsec සම්බන්ධතාවය සාමාන්යයෙන් 500 මත IKE සහ 4500 මත ඇතුරූ ESP පෙන්වයි. UDP 1701 ශීර්ෂය ආරක්ෂිත භාරය තුළ පිහිටා ඇත, එබැවින් පිටත අතුරුමුහුණතේ ග්රහණයක් එය නොපෙන්වයි. දේශීය සත්කාරකය එම දත්තග්රෑමය L2TP ඩීමනයට තවමත් ලබා දිය යුතු අතර ලබා දීම ඩීකැප්සියුලේෂන් පසුව සිදු වේ. එබැවින් 1701 නියමය අන්ත ලක්ෂ්යයේම ෆයර්වෝල් එකට අයත් වේ, කිසිදු මධ්යස්ථ උපාංගයක් එම තොටුපොළ කිසිදා නොදකින විට පවා.

සැකසුම් අනුපිළිවෙල ව්යාකූලත්වයේ වැඩි කොටස පැහැදිලි කරයි. ගොඩගැස්ම සත්කාරක පෙරහනට පෙර IPsec ප්රතිපත්තිය යෙදුවහොත්, ඩීකැප්සියුලේට කළ L2TP පැකට්ටුව UDP 1701 ලෙස ගැළපේ; අනුපිළිවෙල ප්රතිලෝම නම්, පිටත තොටුපොළ නියම කට්ටලය දකින දෙයයි. දෙකම ප්රායෝගිකව පවතී, එබැවින් එකම නියම කට්ටලය එක් වේදිකාවක ක්රියා කර අනෙකක අසාර්ථක වන බව පෙනේ.

අනුපිළිවෙලින් මාර්ගය පරීක්ෂා කරන්න

මුලින්ම පිටත අතුරුමුහුණතේ ග්රහණය කර IKE සහ ඇතුරූ ESP දෙපැත්තටම ගමන් කරන බව තහවුරු කරන්න. පසුව ඩීකැප්සියුලේට කළ ට්රැෆික් සඳහා දේශීය ෆයර්වෝල් ගණක විමසන්න. අනුපිළිවෙල වැදගත්, මන්ද කිසිවක් නොපෙන්වන ග්රහණයක් යනු ගැටලුව සත්කාරකයට ඉහළින් ඇති බවයි.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

ග්රහණය හුවමාරුවේ පළමු භාගය තහවුරු කර සහකරු පිළිතුරු දෙනවාද යන්න පෙන්වයි. නියම ලැයිස්තුව 1701 නියමයක් තිබේද සහ ඕනෑම බැහැර කිරීමේ ප්රතිපත්තියකට සාපේක්ෂව එය පිහිටා ඇත්තේ කොහේද පෙන්වයි. සොකට් ලැයිස්තුව L2TP ඩීමනය බැඳී ඇති අතර සවන් දෙන බව තහවුරු කරයි, එය කිසිදා ආරම්භ නොවූ සේවාවක් බැහැර කරයි. නියමයක් වෙනස් කිරීමට පෙර තුනම කියවන්න, මන්ද නොමැති ශ්රාවකය සහ පෙරහන් කළ තොටුපොළ පරිශීලකයාගෙන් එකම පැමිණිල්ල ගෙන එයි.

තොටුපොළ ස්කෑන් කිරීමට පෙන්විය නොහැකි දේ

නිවැරදිව වින්යාස කළ සේවාදායකයකට එරෙහිව UDP 1701 හි බාහිර ස්කෑන් කිරීම සාමාන්යයෙන් කිසිවක් වාර්තා නොකරයි, එය අපේක්ෂිත ප්රතිඵලයයි. තොටුපොළ අන්තර්ජාලයට නිරාවරණය නොවේ; IPsec සහකරු සත්යාපනය කිරීමෙන් පසුව පමණක් එයට ළඟා විය හැක. වසා ඇති ප්රතිඵලය දෝෂයක් ලෙස සැලකීම වසා තැබිය යුතු තොටුපොළක් විවෘත කිරීමට හේතු වේ. ස්කෑන් කිරීමට යෙදුම් ට්රැෆික් දැකිය නොහැකි තරමටම උමං මාර්ගය තුළ දැකිය නොහැක.

ඒ වෙනුවට සැබෑ සේවාලාභියෙකු සමඟ පරීක්ෂා කරන්න, සහ එය ළඟා වන අවස්ථාව කියවන්න. සම්බන්ධතාවය සාකච්ඡා කර පසුව නතර වුවහොත්, L2TP ඩීමනය හෝ දේශීය පෙරහන සැකකරුය; එය කිසිදා සාකච්ඡා නොකරන්නේ නම්, පිටත තොටුපොළ වගකිව යුත්තේය. එම එකම බෙදීම කුමන නියමය එක් කළ යුතුද යන්න පිළිබඳ බොහෝ අනුමාන ඉවත් කරයි, සහ ප්රොටෝකෝල ස්තරකරණය එය අද්භූත නොව අනුමාන කළ හැකි බවට පත් කරයි.