IKEv2 përdor UDP 500 dhe 4500: cili prej tyre mbart të dhënat?

Hapja e UDP 500 në firewall lejon tunelin të negociojë, dhe më pas lidhja ndalon së kaluari trafikun. Lista e portave ishte e paplotë, jo e gabuar. IKEv2 fillon në një socket dhe në shumë vendosje reale vazhdon në një tjetër, ndërsa ngarkesa mund të mos jetë fare port. Leximi i fazave me radhë shpjegon cila rregull mungon.

Dy porta, dy detyra

IKEv2 fillon me një shkëmbim çelësash në UDP 500, ku palët autentikohen dhe krijojnë një asociacion sigurie për tunelin. Rruga e të dhënave që vijon është çështje më vete: mund të jetë ESP vendas, i cili është numër protokolli IP dhe jo port, ose trafik i kapsuluar në UDP në 4500. Ndarja e këtyre në një rishikim të firewall-it është ndryshimi mes një tuneli që negocion dhe një tuneli që funksionon. Një socket mbart kontrollin dhe tjetri ngarkesën.

Prandaj një rregull që lejon vetëm 500 prodhon simptomin më konfuz në të gjithë familjen e protokolleve: negocimi ka sukses dhe asgjë e dobishme nuk vjen pas. Gjendja tregon një palë, regjistri tregon një IKE SA të vendosur, dhe aplikacioni përsëri skadon. Leja që mungon i përket një rrjedhe tjetër nga ajo që sapo pati sukses.

Pse ekziston 4500 fare

Shumë pajisje NAT nuk mund të përcjellin protokoll tjetër përveç TCP ose UDP, dhe disa i rishkruajnë adresat në mënyra që prishin kontrollin e integritetit të ESP. Kapsulimi i ESP brenda UDP zgjidh të dy problemet, me kosto një header shtesë dhe një port të dytë që duhet lejuar. Pikërisht ky kapsulim është arsyeja pse ekziston porti i dytë.

Sapo zbulohet NAT, edhe vetë IKE kalon në 4500, që i gjithë trafiku të ndajë një rrugë përmes përkthyesit. Një shenjë prej katër bajtësh që nuk është ESP dallon mesazhet e kontrollit nga të dhënat në atë socket. Kalimi është vendim protokolli, jo preferencë e administratorit.

Ku ndryshon porti burimor

Përkthyesi mund të rishkruajë portin burimor të klientit, kështu që tuple që shihet në server nuk përputhet me tuple në klient. Shikoni të dy anët e çdo kërcimi NAT përpara se të konkludoni se një rregull po injorohet. Diagnostikimi vetëm në klient mund të prodhojë një rregull që duket i saktë dhe gjithsesi dështon.

Zbatimet që mbështesin MOBIKE mund të kalojnë gjithashtu në 4500 pa NAT të zbuluar, dhe disa vendosje e imponojnë qëllimisht atë rrugë. Prandaj të shohësh 4500 është provë e një vendimi, jo provë e një routeri shtëpiak.

Kontrolloni të dy rrjedhat në çdo kufi

Kalo nëpër tre kufijtë: rrjeti i klientit, çdo firewall i ndërmjetëm dhe serveri. Secili ka nevojë për rrjedhat që dokumenton vendosja, jo rrjedhat nga një artikull për një rast tjetër.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Rreshti ESP në një listë firewall-i është përputhje protokolli, kështu që një rregull porti nuk e mbulon kurrë. Nëse operatori përdor një port të personalizuar, ndiqni konfigurimin e dokumentuar në të dy skajet, sepse një klient nuk mund të krijojë një dëgjues në server duke zgjedhur një numër të njohur.

Regjistroni ku u ndal negocimi dhe nëse u instalua një asociacion sigurie fëmijë, sepse ai çift ndan një rrugë të bllokuar nga një gabim autentikimi ose politike. Pastaj përsëritni testin me verifikimin e serverit të aktivizuar, sepse arritshmëria nuk është autentikim. Ai hap i fundit ndan një port të lejuar nga një palë e besuar.