IKE mbi TCP 4500: kontrolloni të dy skajet para rregullit të portit
Enkapsulimi TCP negociohet nga të dy skajet, nuk jepet nga një rregull muri zjarri. Kryeni kontrollin e dëgjuesit, kapjen dhe katër fazat e pranimit sipas radhës.
Biletat e mbështetjes shpesh vijnë kur ndryshimi i murit të zjarrit është miratuar tashmë dhe tuneli ende refuzon të ngrihet. Ky është rezultati i pritshëm kur vetëm një skaj e ka funksionin: enkapsulimi TCP sipas RFC 9329 duhet të implementohet dhe konfigurohet në të dy skajet, dhe marrëveshja ndodh brenda lidhjes përpara se të lëvizë çdo trafik i mbrojtur. Hapja e një porti shpall një dëgjues që mund të mos ekzistojë, dhe një dëgjues pa konfigurimin përkatës në anën tjetër pranon lidhjen dhe pastaj hesht. Rendi më poshtë i vendos kontrollet e lira të parat.
Dijeni çfarë shton në të vërtetë opsioni
IPsec vendas transporton ngarkesat e kriptuara si protokoll IP 50, pa një numër porti për t'u lejuar. NAT traversal i mbështjell ato paketa në UDP drejt portit 4500, dhe për këtë arsye kaq shumë rregulla muri zjarri përmendin atë port. RFC 9329 shton një paraqitje rryme: paketat IKE dhe IPsec të dyja udhëtojnë brenda një lidhjeje TCP, zakonisht drejt portit 4500.
Rryma nuk është shërbim web. Një lidhje TCP drejt 4500 nuk thotë asgjë për HTTP, TLS ose miqësinë me përfaqësuesin, dhe një përfaqësues HTTP në rrugë zakonisht do të thyejë kornizimin në vend që ta mbajë atë.
Kontroll paraprak përpara se të prekni murin e zjarrit
Standardi e vendos TCP si alternativë për rrjetet që hedhin poshtë rrugën UDP, jo si zëvendësim të saj. Merrni dy fakte nga çdo furnizues: emrin e saktë të funksionit dhe versionin që implementon RFC 9329 në vend të një varianti të pronarit. Etiketa si IPsec over TCP janë përdorur për modele të palidhura, prandaj kërkoni referencën e dokumentit dhe çelësin e konfigurimit që e ndez. Pa të dyja përgjigjet, mos supozoni asgjë për përputhshmërinë në tel.
Vërtetojeni në një laborator ku të dy skajet janë tuajat. Një portë që përgjigjet në TCP 4500 por nuk përfundon kurrë IKE është nënshkrimi i një dëgjuesi pa enkapsulimin përkatës në anën tjetër, dhe zbulimi atje kushton shumë më pak sesa gjatë një dritareje ndryshimi.
Në anën e përgjigjësit: a dëgjon diçka
Filloni me soketën. ss -ltnp | grep 4500 tregon nëse ekziston një dëgjues TCP dhe cili proces e zotëron. Mungesa e një rreshti e përfundon hetimin te konfigurimi i portës, jo te rrjeti.
Nëse soketa është aty, vëzhgoni shtrëngimin e duarve në vend që të hamendësoni nga ana e klientit: tcpdump -ni any 'tcp port 4500'. Një shtrëngim duarsh trefish i përfunduar i ndjekur nga heshtje do të thotë që rryma u pranua dhe shkëmbimi IKE brenda saj dështoi, ndërsa një SYN pa përgjigje tregon filtrim ose adresë të gabuar.
Krahasojeni me rrugën UDP në të njëjtën dritare kapjeje që të dyja të mos ngatërrohen: tcpdump -ni any 'udp port 4500 or proto 50'. Trafiku në protokollin 50 ose portin UDP 4500 ndërsa ju mendoni se përdoret TCP do të thotë që skajet nuk ranë kurrë dakord për alternativën. Kapeni edhe në portë nëse mundeni, sepse një kapje nga ana e klientit nuk mund të tregojë çfarë dërgoi skaji i largët.
Pranojeni në katër faza të veçanta
Trajtojeni ngritjen si katër rezultate. Secili mund të dështojë për një arsye tjetër, dhe një kalim ose dështim i vetëm fsheh cili ishte, prandaj ndaloni në fazën e parë që dështon dhe filloni përsëri nga lart.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Faza e katërt është ajo që kapërcehet. Një sesion ekzistues mund të vazhdojë të punojë mbi gjendje të ruajtur në cache, prandaj hapni një lidhje të re drejt një hosti pas portës përpara se të mbyllni ndryshimin. Nëse faza e dytë dështon ndërsa e para kalon, mospërputhja është në propozim ose në cilësimin e enkapsulimit, jo në murin e zjarrit.
Kthimi prapa dhe kostoja e lënies së saj ndezur
Planifikoni anulimin përpara ndryshimit: fikni opsionin e enkapsulimit në të dy skajet dhe konfirmoni që tuneli kthehet përmes UDP. Mbani rregullin TCP për një cikël rishikimi në rast se alternativa nevojitet përsëri, pastaj hiqni atë. Një dëgjues i papërdorur në 4500 është sipërfaqe pa asnjë vlerë operative.
Vëzhgoni nënshkrimin e performancës kur të mbajë punë të vërtetë. TCP brenda TCP shton shtresa konfirmimi që ngecin në një humbje të vetme, dhe rrymat që ndajnë një lidhje mund të bllokojnë njëra-tjetrën, prandaj matni aplikacionin që do të përdorë tunelin në vend të ping.
Lista e pranimit
Konfirmoni emrin dhe versionin e funksionit në të dy skajet, dëgjuesin në anën e përgjigjësit, kapjen që tregon një shtrëngim duarsh të përfunduar dhe katër fazat e regjistruara me vula kohore. Shtoni arsyen e alternativës në regjistrin e ndryshimit që inxhinieri tjetër të dijë pse TCP është atje. Ushtroni kthimin prapa përpara se t'ju duhet.
Nëse ndonjë fazë dështon, rregulloni vetëm atë fazë. Ndryshimi i grupit të shifrave ose i cilësimeve të identitetit për të ndjekur një problem transporti zakonisht shton një dështim të dytë, të palidhur mbi të parin.