IKEv2 uporablja UDP 500 in 4500: kateri prenaša podatke?

Odpiranje UDP 500 v požarnem zidu omogoči tunelu pogajanja, nato pa povezava preneha prepuščati promet. Seznam vrat je bil nepopoln, ne napačen. IKEv2 se začne na eni vtičnici in v mnogih resničnih uvedbah nadaljuje na drugi, medtem ko koristni tovor morda sploh ni vrata. Branje faz po vrsti pojasni, katero pravilo manjka.

Dvoje vrat, dve nalogi

IKEv2 se začne z izmenjavo ključev na UDP 500, kjer se strani avtenticirata in vzpostavita varnostno povezavo za tunel. Podatkovna pot, ki sledi, je ločena zadeva: lahko je izvorni ESP, ki je številka protokola IP in ne vrata, ali promet, zapakiran v UDP na 4500. Ločevanje teh dveh pri pregledu požarnega zidu je razlika med tunelom, ki se pogaja, in tunelom, ki deluje. Ena vtičnica nosi nadzor, druga koristni tovor.

Zato pravilo, ki dovoljuje samo 500, ustvari najbolj zmedljiv simptom v celotni družini protokolov: pogajanja uspejo in nič koristnega ne sledi. Stanje pokaže partnerja, dnevnik pokaže vzpostavljeno IKE SA, aplikacija pa še vedno poteče. Manjkajoče dovoljenje pripada drugemu toku kot tistemu, ki je pravkar uspel.

Zakaj 4500 sploh obstaja

Mnoge naprave NAT ne morejo posredovati protokola, ki ni TCP ali UDP, nekatere pa prepišejo naslove tako, da to pokvari preverjanje celovitosti ESP. Pakiranje ESP v UDP reši oba problema, za ceno dodatne glave in drugih vrat, ki jih je treba dovoliti. Prav to pakiranje je razlog, da druga vrata sploh obstajajo.

Ko je NAT zaznan, se tudi IKE premakne na 4500, da si ves promet deli eno pot skozi prevajalnik. Štiribajtna oznaka, ki ni ESP, loči nadzorna sporočila od podatkov na tej vtičnici. Prehod je odločitev protokola, ne preference skrbnika.

Kje se spremeni izvorna vrata

Prevajalnik lahko prepiše izvorna vrata odjemalca, zato se tuple, ki ga vidi strežnik, ne ujema s tuple na odjemalcu. Preden sklepate, da se pravilo ignorira, poglejte obe strani vsakega NAT skoka. Odpravljanje težav samo na odjemalcu lahko da pravilo, ki je videti pravilno in vseeno ne uspe.

Izvedbe s podporo MOBIKE lahko preidejo na 4500 tudi brez zaznanega NAT, nekatere uvedbe pa to pot namerno vsiljujejo. Videti 4500 je torej dokaz odločitve, ne dokaz domačega usmerjevalnika.

Preverite oba toka na vsaki meji

Pojdite skozi tri meje: omrežje odjemalca, morebitni vmesni požarni zid in strežnik. Vsaka potrebuje tokove, ki jih uvedba dokumentira, ne tokove iz članka o drugem primeru.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Vrstica ESP na seznamu požarnega zidu je ujemanje protokola, zato je pravilo vrat nikoli ne pokrije. Če operater uporablja vrata po meri, upoštevajte dokumentirano konfiguracijo na obeh koncih, ker odjemalec ne more ustvariti poslušalca na strežniku z izbiro znane številke.

Zabeležite, kje so se pogajanja ustavila in ali je bila nameščena podrejena varnostna povezava, saj ta par loči blokirano pot od napake pri avtentikaciji ali politiki. Nato ponovite test z omogočenim preverjanjem strežnika, ker dosegljivost ni avtentikacija. Ta zadnji korak loči dovoljena vrata od zaupanja vrednega partnerja.