ESP waa borotokoolka IP 50, ma aha dekedda TCP 50: waxa la oggolaado
Lambarka borotokoolka iyo lambarka dekedda waa meelo magac oo kala duwan. Qaanuunka dekedda TCP 50 waxba ma oggola, iyo NAT traversal wuxuu ESP u guuriyaa UDP 4500.
Foomamka firewall-ka waxay weydiiyaan deked TCP, jawaabta cadna waa 50. Jawaabtaas waxba ma oggola, sababtoo ah ESP waa borotokoolka IP lambarkiisu 50 iyo lambarrada borotokoolka ma aha dekedo. Labada meelood magac waxay wadaagaan kaliya tirooyin buuxa oo yaryar iyo wax kale, khaladkuna wuu qarsoonaanayaa ilaa IKE dhammaado oo gaadiidka la ilaaliyay uusan waligiis iman.
Laba meelood magac oo wadaagta tirooyin yaryar
Cinwaanka IP wuxuu qaadaa goob borotokool oo magacaabta waxa xiga: 6 TCP, 17 UDP, 1 ICMP, 50 ESP, 51 AH. Cinwaanka TCP ama UDP wuxuu qaadaa lambarrada dekedda, kuwaas oo doorbida habsocod ku yaal martigeliyaha loo socdo. Borotokoolka 50 iyo dekedda TCP 50 waa qiyam aan xiriir lahayn, laakiin sanduuqa wada-hadalku wuxuu ka dhigi karaa inay u eg yihiin kuwo la is-weydaarsan karo.
Taasi waa sababta qaanuunka gudbinta dekeddu uusan u sheegi karin ESP asalka ah. Ma jiro deked loo socdo oo ESP ah oo la gudbin karo, qalabka kaliya fahma qaanuunka dekedduna wax eray ah kama hayo baakaddaas. Qaanuunka saxda ah wuxuu magacaabaa borotokoolka IP. Wada-hadal kasta oo dekeddu waa qalab khaldan baakaddaas.
Jahwareerku wuxuu leeyahay qayb labaad. Marka baakaddu sir ah tahay, wax walba oo gudaheeda ku jiraa waa mugdi, oo ay ku jirto cinwaanka TCP ee xiriirka asalka ah. Firewall-ka baaraya dekedo baakaddaas wuxuu eegayaa cinwaanka dibadda, kaas oo xaaladda asalka ah uusan lahayn dekedo la baaro.
ESP asalka ah, ka dibna beddelka la duubay
ESP asalka ah si toos ah ayaa loo qaadaa sida borotokool IP, taas oo si isku mid ah waxtar u leh oo adag. Waxtar leh sababtoo ah ma jiro cinwaan dheeraad ah, adagna sababtoo ah qalab kasta oo tarjumaad cinwaan iyo deked sameeya ma raaci karo. NAT traversal wuxuu u jiraa inuu taas xalliyo, isagoo baakadda ESP ku duubaya UDP si tarjumuhu u helo dekedo uu dib u qoro.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Labada qaab waa hirgelinno beddel ah oo isla kanaalka xogta, ma aha lakabyo mid. Oggolaashada ESP asalka ah ma oggolaato qaabka la duubay, oggolaashada UDP 4500-na ma oggolaato gaadiidka asalka ah, sidaas darteed qaanuunka waa inuu la jaanqaadaa hirgelinta halkii uu si shil ah labadaba dabooli lahaa.
Ogaansho ayaa sidoo kale halkan muhiim ah. Dhinacyada waxay go'aan ka gaadhaan qaababka inta lagu jiro wada-hadalka, isbeddelkuna wuxuu badanaa dhacaa marka NAT laga helo dhexdooda. Sidaas darteed waddo isbeddesha ka dib marka tunnel-ka la sameeyo waxay gaadiidka u rari kartaa meel magac oo qaanuunkaagu waligiis daboolin.
Akhri qaabka xiriirku dhab ahaan isticmaalo
Weydii dhinaca halkii aad ka malayn lahayd firewall-ka. Linux dhexdiisa gelinta xaaladdu waxay soo sheegtaa haddii ururku isticmaalo duubista UDP iyo dekedaha ku lug leh. Qabashada baakaddu waxay ka jawaabtaa isla su'aasha siligga, labaduna way ka dhaqso badan yihiin akhrinta qaanuunka iyo rajo.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Amarka koowaad wuxuu muujiyaa nooca duubista marka NAT traversal la isticmaalayo iyo waxba marka aan la isticmaalin. Kan labaad wuxuu muujiyaa qaabka labada midka ah ee dhab ahaan ka gudba interface-ka, taasna waxay dhamaysataa doodaha ku saabsan habaynta warqadda ku eg.
Caddaynta lidka ku ah waxay ka tirsan tahay isla tallaabada. Qaanuun soo sheega eber isku-dhac wuxuu kuu sheegayaa in baakaddu waligeed aanay gaarin, taasna waa su'aal habayn ama doorasho, ma aha firewall.
Ka dib si gooni ah u xaqiiji kanaalka kontoroolka. IKE wuxuu leeyahay dekedihiisa iyo diiwaankiisa, wada-hadal dhammaaday oo aan xog lahaynna waa kala qaybsanaanta maqaalkani ka hadlayo.
Qaanuunka ku qor meesha magaca ee saxda ah
Qaanuunka borotokoolka iyo qaanuunka dekeddu waa tilmaamo kala duwan, sidaas darteed qalabku waa inuu sheegaa kan aad ula jeedo. nftables dhexdiisa isku-dhaca borotokoolku waa cad yahay, beddelka la duubayna wuxuu helaa qaanuunkiisa UDP. Labada qaanuun isku dhowee si lammaanku u muuqdo dib-u-eegista.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptKa hor istaag damaca ah inaad mid ka mid ah qaanuunnada ballaadhiso si aad u magdhabo ogaansho khaldan. Oggolaashada wax walba borotokoolka ESP ee interface kasta, ama oggolaashada UDP meel kasta ilaa meel kasta, waxay hagaajisaa calaamad oo meesha ka saartaa kontoroolka aad isku dayaysay inaad dejiso. Qulqulka cidhiidhiga ah ee la taageeray badanaa waa ku filan yahay marka qaabka la ogaado.
Ugu dambayntii, lakabyada si toos ah u hay marka tunnel-ku shaqeeyo oo barnaamijku aanu shaqayn. Baakadaha yimaadda gateway-ga waxay weli u baahan yihiin gudbin, waddo soo noqod iyo siyaasad soo dhowaysa, midkoodna laguma sheegayo qaanuunka ESP. Dekedda maqan waxay sharraxaysaa guuldarro gaar ah, ma aha guuldarro kasta oo IPsec. Hagaajinta qaanuunka iyo hubinta habaynta u hay sidii laba gabagabo oo gooni ah.
Qor qaabka aad aragtay, qaanuunka borotokoolka aad ku dartay iyo tiriyaha aad ka dib aragtay. Saddex sadar, qofka xigana wuxuu kala gartaa khaladka meesha magaca iyo khaladka habaynta daqiiqad gudahaheed ah halkii galab.