IKE prek TCP 4500: pred pravilom vrat preverite oba konca
TCP-kapsuliranje se dogovarjata oba konca, ne dodeli ga pravilo požarnega zidu. Izvedite preverjanje poslušalca, zajem in štiri faze sprejema po vrsti.
Zahtevki za podporo pogosto pridejo, ko je sprememba požarnega zidu že odobrena, tunel pa se še vedno noče dvigniti. To je pričakovani rezultat, ko ima funkcijo samo en konec: TCP-kapsuliranje po RFC 9329 je treba implementirati in konfigurirati na obeh koncih, dogovor pa se zgodi znotraj povezave, preden se lahko premakne kakršen koli zaščiten promet. Odpiranje vrat oglašuje poslušalca, ki morda ne obstaja, poslušalec brez ustrezne konfiguracije na drugi strani pa sprejme povezavo in nato utihne. Spodnje zaporedje postavi poceni preverjanja na prvo mesto.
Vedite, kaj možnost v resnici doda
Vgrajeni IPsec prenaša šifrirane koristne obremenitve kot IP-protokol 50, brez številke vrat, ki bi jo bilo treba dovoliti. NAT traversal te pakete ovije v UDP na vrata 4500, zato toliko pravil požarnega zidu omenja ta vrata. RFC 9329 doda predstavitev toka: paketi IKE in IPsec oboji potujejo znotraj ene TCP-povezave, običajno na vrata 4500.
Tok ni spletna storitev. TCP-povezava na 4500 ne pove ničesar o HTTP, TLS ali prijaznosti do posrednika, posrednik HTTP na poti pa bo običajno zlomil uokvirjanje, namesto da bi ga prenesel.
Predhodno preverjanje, preden se dotaknete požarnega zidu
Standard postavlja TCP kot rezervno pot za omrežja, ki zavržejo pot UDP, ne kot njeno nadomestilo. Pridobite dve dejstvi od vsakega ponudnika: točno ime funkcije in različico, ki izvaja RFC 9329, ne lastniške različice. Oznake, kot je IPsec over TCP, so bile uporabljene za nepovezane zasnove, zato zahtevajte sklic na dokument in konfiguracijski ključ, ki jo vklopi. Brez obeh odgovorov ne predpostavljajte ničesar o združljivosti na žici.
Dokažite to v laboratoriju, kjer sta oba konca vaša. Prehod, ki odgovarja na TCP 4500, a nikoli ne dokonča IKE, je podpis poslušalca brez ustreznega kapsuliranja na drugi strani, in to odkriti tam je veliko ceneje kot med oknom spremembe.
Na strani odzivnika: ali kaj posluša
Začnite s vtičnico. ss -ltnp | grep 4500 pokaže, ali obstaja poslušalec TCP in kateri proces ga ima v lasti. Odsotnost vrstice konča preiskavo pri konfiguraciji prehoda, ne pri omrežju.
Če je vtičnica tam, opazujte rokovanje, namesto da bi ugibali s strani odjemalca: tcpdump -ni any 'tcp port 4500'. Dokončano tripotno rokovanje, ki mu sledi tišina, pomeni, da je bil tok sprejet in da je izmenjava IKE v njem spodletela, medtem ko SYN brez odgovora kaže na filtriranje ali na napačen naslov.
Primerjajte s potjo UDP v istem oknu zajema, da se obe ne zamenjata: tcpdump -ni any 'udp port 4500 or proto 50'. Promet na protokolu 50 ali vratih UDP 4500, ko verjamete, da se uporablja TCP, pomeni, da se strani nikoli nista dogovorili o rezervni poti. Zajemite tudi na prehodu, če lahko, ker zajem na strani odjemalca ne more pokazati, kaj je poslal oddaljeni konec.
Sprejmite v štirih ločenih fazah
Dviganje obravnavajte kot štiri rezultate. Vsak lahko spodleti iz drugega razloga, en sam uspeh ali neuspeh pa skrije, kateri je bil, zato se ustavite pri prvi fazi, ki spodleti, in začnite znova od zgoraj.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Četrta faza je tista, ki se preskoči. Obstoječa seja lahko še naprej deluje na predpomnjenem stanju, zato odprite novo povezavo do gostitelja za prehodom, preden zaprete spremembo. Če druga faza spodleti, medtem ko prva uspe, je neskladje v predlogu ali v nastavitvi kapsuliranja, ne v požarnem zidu.
Vrnitev nazaj in cena, da to pustite vklopljeno
Načrtujte razveljavitev pred spremembo: izklopite možnost kapsuliranja na obeh koncih in potrdite, da se tunel vrne po UDP. Pravilo TCP obdržite en revizijski cikel, če bo rezervna pot znova potrebna, nato pa ga odstranite. Neuporabljen poslušalec na 4500 je površina brez kakršne koli operativne vrednosti.
Opazujte podpis delovanja, ko bo nosil resnično delo. TCP v TCP doda plasti potrjevanja, ki se ustavijo ob eni sami izgubi, tokovi, ki si delijo eno povezavo, pa se lahko blokirajo medsebojno, zato merite aplikacijo, ki bo uporabljala tunel, namesto pinga.
Seznam sprejema
Potrdite ime in različico funkcije na obeh koncih, poslušalca na strani odzivnika, zajem, ki kaže dokončano rokovanje, in štiri faze, zabeležene s časovnimi žigi. Dodajte razlog za rezervno pot v zapis spremembe, da bo naslednji inženir vedel, zakaj je TCP tam. Vadite vrnitev nazaj, preden jo boste potrebovali.
Če katera koli faza spodleti, popravite samo tisto fazo. Spreminjanje šifrirnega niza ali nastavitev identitete za lovljenje transportne težave običajno doda drugo, nepovezano napako na prvo.