IKE ee TCP 4500: hubi labada daraf ka hor inta aan la gelin qaanuunka dekedda
Xirmada TCP waxaa wada-gala labada daraf, ma bixiso qaanuun derbi-dab ah. Samee hubinta dhageystaha, qabashada iyo afarta marxaladood ee aqbalaadda si isku xigta.
Tikidhka taageerada waxay inta badan yimaadaan iyadoo isbeddelka derbi-dabka hore loo ansixiyay iyo tunnelka weli diidaya inuu kaco. Taasi waa natiijada la filayo marka hal daraf kaliya leeyahay sifada: xirmada TCP ee RFC 9329 waa in laga hirgaliyo oo laga habeeyo labada daraf, heshiiskuna wuxuu ku dhacaa gudaha xiriirka ka hor inta aan taraafik macquul ah dhaqaaqin. Furidda deked waxay ku dhawaaqdaa dhageyste laga yaabo inuusan jirin, dhageystaha aan lahayn habaynta u dhiganta dhinaca kale wuu aqbalaa xiriirka kadibna wuu aamusaa. Taxanaha hoose wuxuu hubinnada jaban dhigayaa horay.
Ogow waxa xulashadu dhab ahaan ku darayso
IPsec asalka ah wuxuu qaadaa xamuulka sirta ah sida borotokoolka IP 50, iyada oo aan lahayn lambar deked la oggolaado. NAT traversal waxay ku duubtaa baakadahaas UDP oo u dirtaa dekedda 4500, taasina waa sababta qaanuunno badan oo derbi-dab ah ay u xusaan dekeddaas. RFC 9329 waxay ku daraysaa matalaad qulqul: baakadaha IKE iyo IPsec labaduba waxay ku socdaan hal xiriir TCP, sida caadiga ah dekedda 4500.
Qulqulku ma aha adeeg web. Xiriirka TCP ee 4500 waxba kama sheego HTTP, TLS ama saaxiibtinimada boroksi, boroksi HTTP oo jidka ku jira wuxuu sida caadiga ah jebin doonaa qaabaynta halkii uu qaadi lahaa.
Hubin horudhac ah ka hor inta aadan taaban derbi-dabka
Heerka wuxuu TCP u dhigaa beddelka keydka ee shabakadaha tuuraya jidka UDP, ma aha beddelkiisa. Ka hel laba xaqiiqo shabakad kasta iibiyaha: magaca saxda ah ee sifada iyo nooca fuliya RFC 9329 halkii uu ka ahaan lahaa nooc milkiileed. Calaamadaha sida IPsec over TCP ayaa loo isticmaalay naqshado aan xiriir lahayn, marka weydii tixraaca dukumeentiga iyo furaha habaynta ee daara. Laba jawaab la'aan waxba ha moodin ku saabsan iswaafajinta siliga.
Ku caddee shaybaadhka labada daraf adiga leh. Albaabka ka jawaaba TCP 4500 laakiin aan waligiis dhammaystirin IKE waa calaamadda dhageyste aan lahayn xirmada u dhiganta dhinaca kale, meeshaasna ka helidda ayaa aad uga jaban inta lagu jiro daaqadda isbeddelka.
Dhinaca jawaab-bixiyaha: ma jiraa wax dhageysanaya
Ka bilow socketka. ss -ltnp | grep 4500 wuxuu muujinayaa haddii dhageyste TCP jiro iyo habka iska leh. Khadka maqnaanshihiisu wuxuu baaritaanka ku dhammeeyaa habaynta albaabka ee ma aha shabakadda.
Haddii socketku jiro, fiiri gacan-qaadka halkii aad ka qiyaasi lahayd dhinaca macmiilka: tcpdump -ni any 'tcp port 4500'. Gacan-qaad saddex-geesood ah oo dhammaaday oo aamusnaan ku xigta waxay ka dhigan tahay in qulqulka la aqbalay oo isdhaafsiga IKE ee gudihiisa ku guuldareystay, halka SYN jawaab la'aan uu tilmaamayo shaandhayn ama ciwaan khaldan.
La barbardhig jidka UDP ee isla daaqadda qabashada si aan labaduba isku qaldamin: tcpdump -ni any 'udp port 4500 or proto 50'. Taraafik ku socda borotokoolka 50 ama dekedda UDP 4500 adigoo u malaynaya in TCP la isticmaalayo waxay ka dhigan tahay in darafyadu waligood aanay ku heshiin beddelka. Sidoo kale ku qabo albaabka haddii aad kartid, sababtoo ah qabashada dhinaca macmiilka ma muujin karto waxa darafka fog diray.
Ku aqbal afar marxaladood oo gooni ah
U qaado kaca afar natiijo. Mid kastaa wuu ku guuldareystaa sabab kale, hal baas ama fashil wuxuu qariyaa midka uu ahaa, marka joogso marxaladda ugu horreysa ee fashilma oo dib uga bilow korka.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Marxaladda afraad waa tan la boodaa. Kulanka jira wuxuu ku sii shaqeyn karaa xaalad kaydsan, marka fur xiriir cusub oo u tag hostka ka dambeeya albaabka ka hor inta aadan xidhin isbeddelka. Haddii marxaladda labaad fashilanto halka tan hore baas tahay, khilaafku wuxuu ku jiraa soo-jeedinta ama habaynta xirmada, ma aha derbi-dabka.
Dib u noqosho, iyo kharashka ku haynta mid shidan
Qorshee ka-noqoshada ka hor isbeddelka: danso xulashada xirmada labada daraf oo xaqiiji in tunnelku ku soo noqdo UDP. Hay qaanuunka TCP hal wareeg dib-u-eegis haddii beddelka loo baahdo mar kale, kadibna ka saar. Dhageyste aan la isticmaalin oo ku yaal 4500 waa dushiil aan lahayn qiimo hawleed.
La soco calaamadda waxqabadka marka uu qaado shaqo dhab ah. TCP gudaha TCP wuxuu ku darayaa lakabyo xaqiijin ah oo istaaga hal lumis, qulqulka wadaaga hal xiriirna way is xannibi karaan, marka cabbir barnaamijka isticmaali doona tunnelka halkii aad ka cabbiri lahayd ping.
Liiska aqbalaadda
Xaqiiji magaca iyo nooca sifada labada daraf, dhageystaha dhinaca jawaab-bixiyaha, qabashada muujinaysa gacan-qaad dhammaaday, iyo afarta marxaladood oo la diiwaangeliyay shaabado waqti. Ku dar sababta beddelka keydka diiwaanka isbeddelka si injineerka xiga uu u ogaado sababta TCP ugu jiro halkaas. Tababar dib-u-noqoshada ka hor inta aadan u baahnayn.
Haddii marxalad kasta fashilanto, hagaaji marxaladdaas oo keliya. Beddelka qaybta sirta ama habaynta aqoonsiga si loo dabagalo dhibaato gaadiid ayaa sida caadiga ah ku daraya fashil labaad oo aan xiriir lahayn midka hore.