ESP je protokol IP 50, ne vrata TCP 50: kaj dovoliti
Številke protokolov in številke vrat so različni imenski prostori. Pravilo za vrata TCP 50 ne dovoli ničesar, NAT traversal pa premakne ESP v UDP 4500.
Obrazci požarnega zidu zahtevajo vrata TCP, in očitni vnos je 50. Ta vnos ne dovoli ničesar, ker je ESP protokol IP številka 50 in številke protokolov niso vrata. Oba imenska prostora si delita le majhna cela števila in nič drugega, in napaka ostane nevidna, dokler se IKE ne konča in zaščiten promet nikoli ne prispe.
Dva imenska prostora, ki si delita majhna števila
Zaglavje IP nosi polje protokola, ki poimenuje, kaj sledi: 6 za TCP, 17 za UDP, 1 za ICMP, 50 za ESP, 51 za AH. Zaglavje TCP ali UDP nosi številke vrat, ki izberejo proces na ciljnem gostitelju. Protokol 50 in vrata TCP 50 sta nepovezani vrednosti, a pogovorno okno ju lahko naredi videti zamenljivi.
Zato pravilo za posredovanje vrat ne more izraziti izvornega ESP. Ni ciljnih vrat ESP za posredovanje, in naprava, ki razume le pravila za vrata, za ta paket sploh nima besedišča. Pravilno pravilo namesto tega poimenuje protokol IP. Vsako pogovorno okno za vrata je za ta paket napačno orodje.
Zmedi ima še drugo polovico. Ko je paket šifriran, je vse v njem neprosojno, vključno z zaglavjem TCP prvotne povezave. Požarni zid, ki pregleduje vrata v tem paketu, gleda zunanje zaglavje, ki v izvornem primeru nima vrat za pregledovanje.
Izvorni ESP, nato zapakirana alternativa
Izvorni ESP se prenaša neposredno kot protokol IP, kar je enako učinkovito kot nerodno. Učinkovito zato, ker ni dodatnega zaglavja, in nerodno zato, ker nobena naprava, ki prevaja naslove in vrata, temu ne more slediti. NAT traversal obstaja prav zato, da to reši: paket ESP ovije v UDP, da ima prevajalnik vrata za prepisovanje.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Obliki sta alternativni uvedbi istega podatkovnega kanala, ne plasti enega. Dovolitev izvornega ESP ne dovoli zapakirane oblike, dovolitev UDP 4500 pa ne dovoli izvornega prometa, zato se mora nabor pravil ujemati z uvedbo, ne pa po nesreči pokrivati obeh.
Tudi zaznavanje je tu pomembno. Končne točke se med pogajanji odločajo med oblikama, preklop pa se običajno zgodi, ko je med njima zaznan NAT. Zato lahko pot, ki se spremeni po vzpostavitvi tunela, promet premakne v imenski prostor, ki ga vaša pravila nikoli niso pokrivala.
Preberite, katero obliko povezava dejansko uporablja
Vprašajte končno točko, namesto da ugibate iz požarnega zidu. V Linuxu vnos stanja poroča, ali povezava uporablja zapakiranje UDP in katera vrata so vpletena. Zajem paketov odgovori na isto vprašanje z žice, in oboje je hitrejše od branja nabora pravil in upanja.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Prvi ukaz pokaže vrsto zapakiranja, ko je NAT traversal v uporabi, in nič, ko ni. Drugi pokaže, katera od obeh oblik dejansko prehaja vmesnik, in to konča razprave o nastavitvi, ki je na papirju videti pravilna.
Protiargument spada v isti korak. Pravilo, ki poroča nič zadetkov, vam pove, da paket do njega ni nikoli prišel, in to je vprašanje usmerjanja ali izbirnika, ne požarnega zidu.
Nato ločeno potrdite krmilni kanal. IKE ima svoja vrata in svoje dnevnike, in zaključeno pogajanje brez podatkov je natanko tista delitev, o kateri govori ta članek.
Zapišite pravilo v pravi imenski prostor
Pravilo protokola in pravilo vrat sta različna navodila, zato mora orodje izraziti tisto, ki jo mislite. V nftables je ujemanje protokola izrecno, zapakirana alternativa pa dobi svoje pravilo UDP. Držite obe pravili skupaj, da bo par viden pri pregledu.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptNe širite nobenega od pravil, da bi nadomestili napačno diagnozo. Dovolitev vsega za protokol ESP na vsakem vmesniku ali dovolitev UDP od koder koli kamor koli odpravi simptom in odstrani nadzor, ki ste ga poskušali nastaviti. Ozko podprt tok skoraj vedno zadostuje, ko je oblika znana.
Nazadnje, držite plasti naravnost, ko tunel deluje, aplikacija pa ne. Paketi, ki prispejo na prehod, še vedno potrebujejo posredovanje, povratno pot in politiko, ki jih sprejme, in nič od tega ni izraženo s pravilom ESP. Manjkajoča vrata pojasnijo določeno okvaro, ne vsake okvare IPsec. Držite popravek pravila in preverjanje usmerjanja kot dva ločena sklepa.
Zapišite obliko, ki ste jo opazili, pravilo protokola, ki ste ga dodali, in števec, ki ste ga videli pozneje. Tri vrstice, in naslednja oseba lahko razlikuje napako imenskega prostora od napake usmerjanja v minuti namesto v popoldnevu.