IKEv2 waxay isticmaashaa UDP 500 iyo 4500: kee baa xogta qaada?

Furitaanka UDP 500 ee firewall-ka waxay u ogolaataa tunnel-ka inuu wada-hadal sameeyo, ka dibna xidhiidhku wuu joojiyaa marinka taraafikada. Liiska port-yada ma ahayn mid buuxa, ma ahayn khalad. IKEv2 wuxuu ka bilaabmaa hal socket oo deegaanada dhabta ah ee badan wuxuu ku sii socdaa mid kale, halka xamuulku uusan port axnaan karin. Akhrinta marxaladaha si taxane ah waxay sharraxaysaa qaanuunka maqan.

Laba port, laba shaqo

IKEv2 wuxuu ku bilaabmaa is-dhaafsiga furaha ee UDP 500, halkaas oo labada dhinac ay is xaqiijiyaan oo ay dhistaan urur ammaan oo tunnel-ka ah. Dariiqa xogta ee xiga waa arrin gooni ah: wuxuu noqon karaa ESP asalka ah, oo ah lambar borotokool IP oo aan port ahayn, ama taraafik ku duuban UDP 4500. Kala-soocidda labadan dib-u-eegista firewall-ka waa farqiga u dhexeeya tunnel wada-hadal sameeya iyo tunnel shaqeeya. Hal socket wuxuu qaadaa kontoroolka kan kalena xamuulka.

Taasi waa sababta qaanuunka kaliya 500 oggolaanaya uu u soo saaro calaamadda ugu jahwareerka badan qoyska borotokoolka oo dhan: wada-hadalku wuu guulaystaa oo wax faa'iido leh ma xigto. Xaaladdu waxay muujinaysaa fac, log-ku wuxuu muujinayaa IKE SA la aasaasay, oo abka well wuu waqti dhaafaa. Oggolaanshaha maqan wuxuu ka tirsan yahay qulqul ka duwan kan hadda guulaystay.

Sababta 4500 uu u jiro

Qalab badan oo NAT ah ma gudbin karaan borotokool aan TCP ama UDP ahayn, qaarna waxay dib u qoraan cinwaannada si jebisa hubinta daacadnimada ESP. Ku duubista ESP gudaha UDP waxay xallinaysaa labada dhibaato, iyadoo qiimaha ah cinwaan dheeraad ah iyo port labaad oo la oggolaado. Duubistaas ayaa ah sababta port-ka labaad u jiro.

Marka NAT la ogaado, IKE laftiisu wuxuu u guuraa 4500 si taraafikada oo dhan ay u wadaagto hal dariiq oo mara tarjumaanka. Calaamad afar byte ah oo aan ESP ahayn waxay kala saartaa fariimaha kontoroolka iyo xogta socket-kaas. Isbeddelku waa go'aan borotokool, ma aha doorbid maamule.

Xaggee port-ka isha isbeddelaa

Tarjumaanku wuxuu dib u qori karaa port-ka isha macmiilka, sidaas darteed tuple-ka server-ka lagu arko kama habboona tuple-ka macmiilka. Fiiri labada dhinac ee boodbood kasta oo NAT ah ka hor inta aadan go'aansan in qaanuun la iska indhatirayo. Xallinta dhibaatada macmiilka oo kaliya waxay soo saari kartaa qaanuun u eg mid sax ah oo haddana guul-darraysta.

Hirgelinta taageerta MOBIKE waxay sidoo kale u guuri kartaa 4500 iyada oo aan NAT la ogaan, iyo deegaanada qaarkood si ula kac ah ayay dariiqaas ku qasbaan. Sidaas darteed arka 4500 waa caddayn go'aan, ma aha caddayn router guri.

Hubi labada qulqul ee xad kasta

Mar xadka saddexda ah: shabakadda macmiilka, firewall kasta oo dhexe, iyo server-ka. Mid kastaa wuxuu u baahan yahay qulqulka ay deegaanku diiwaangelisay, ma aha qulqulka maqaal ku saabsan kiis kale.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Sadarka ESP ee liiska firewall-ka waa isku-dhac borotokool, sidaas darteed qaanuunka port-ku waligiis ma daboolo. Haddii hawlwadeenku isticmaalo port gaar ah, raac qaabeynta la diiwaangeliyay labada daraf, maxaa yeelay macmiilku ma abuuri karo dhegeyste server-ka isagoo dooranaya lambar caan ah.

Diiwaangeli halka wada-hadalku ku joogsaday iyo haddii urur ammaan carruur la rakibay, maxaa yeelay lamaanahaas waxay kala soocaan dariiqa xanniban iyo khalad xaqiijin ama siyaasad. Kadib ku celi tijaabada iyadoo xaqiijinta server-ka daaran, maxaa yeelay gaaritaanku ma aha xaqiijin. Tallaabadaas ugu dambaysa waxay kala soocdaa port la oggolaaday iyo fac la aamini karo.