Protokolli 47 kundrejt portës TCP 47: dy tituj, dy rregulla

Rrjetet e hoteleve dhe mbrojtësit e zjarrit të konferencave shpesh shfaqin një kuti leje të personalizuar, dhe dikush shtyp 47 në të duke shpresuar që PPTP të funksionojë. Rregulli krijohet, tuneli ende dështon, dhe përpjekja tjetër përdor një numër tjetër. Gabimi qëndron në vetë paketën: IPv4 ka një fushë protokolli që emërton çfarë vjen pas titullit IP, ndërsa TCP dhe UDP kanë fusha porte që ekzistojnë vetëm kur je brenda njërit prej atyre titujve. Nuk janë dy shkrime të së njëjtës leje.

Titulli IPv4 emërton protokollin tjetër

Fusha e protokollit është një bajt në titullin IPv4, dhe mban një numër që përshkruan ngarkesën: 6 për TCP, 17 për UDP, 47 për GRE, 50 për ESP. Çdo gjë që filtron paketa e lexon atë vlerë përpara se të shikojë më thellë, sepse titulli më i thellë ka kuptim vetëm pasi lloji të njihet. Ndrysho një portë më vonë në bisedë, dhe kjo fushë nuk është lëvizur.

Prandaj një rregull i shkruar kundër protokollit 47 përshkruan shtresën IP. Asnjë portë nuk merr pjesë në vendim.

Portat ekzistojnë brenda TCP dhe UDP, askund tjetër

Portat janë identifikues gjashtëmbëdhjetë-bitësh brenda titujve TCP dhe UDP, dhe detyra e tyre është të ndajnë bisedat që ndajnë një adresë. Një titull GRE mbart një vlerë të llojit të protokollit, shpesh një EtherType, plus çelësa opsionalë për multipleksim. Prandaj shprehja portë 47 nuk emërton asgjë me të cilën një paketë GRE mund të përputhet.

Ndërfaqet e mbrojtësve të zjarrit ndryshojnë në sa nga kjo shfaqin. Disa pranojnë një numër protokolli, disa ofrojnë një listë me emra, dhe pak pranojnë vetëm TCP ose UDP me porta.

PPTP përdor të dyja shtresat njëkohësisht

PPTP është shembulli më i qartë sepse e ndan qëllimisht punën e tij midis të dyjave. Lidhja e kontrollit është një sesion TCP drejt portës 1723, dhe rruga e të dhënave është GRE, protokolli 47, pa asnjë portë të përfshirë askund. Një mbrojtës zjarri që lejon 1723 dhe asgjë tjetër e lë negocimin të fillojë dhe pastaj e hedh ngarkesën. Tuneli duket se varet pas vërtetimit në vend që të dështojë të lidhet, dhe për këtë arsye simptoma raportohet shpesh si problem fjalëkalimi.

Lexo dy rreshtat veçmas kur shkruan rregullin, dhe kontrollo secilin kundrejt sintaksës së furnizuesit. Një rresht kërkon një portë, tjetri kërkon një numër protokolli, dhe asnjë zë i vetëm nuk i mbulon të dyja.

Pse një faqe përcjelljeje portash nuk mund të shprehë GRE

Një formular përcjelljeje që pranon vetëm TCP dhe UDP nuk mund të përshkruajë GRE, sido që të quhet formulari. Përkthimi i adresave shton një vështirësi të dytë, sepse GRE nuk ka porta dhe përkthyesi duhet të ndjekë në vend të tyre identifikuesin e thirrjes. Disa ruterë konsumatorë vijnë me një ndihmës që e trajton këtë; shumë nuk vijnë, dhe asnjë zë shtesë lejeje TCP nuk do të krijojë atë sjellje.

Aty ku kërkesa e vërtetë është një tunel modern, zgjidh një dizajn që përdor qëllimisht TCP ose UDP në vend që të shpresosh se një përkthyes do të hamendësojë saktë.

Inkapsulimi vendos çfarë sheh filtri

Inkapsulimi ndryshon paketën e jashtme, dhe pikërisht paketa e jashtme është ajo me të cilën përputhet një rregull. ESP nativ është protokolli 50, ndërsa kalimi përmes NAT e mbështjell ESP brenda UDP 4500 që të mbijetojë përkthimin e adresave. Një filtër që lejon UDP 4500 nuk e sheh kurrë protokollin 50, dhe një filtër i shkruar për protokollin 50 nuk përputhet kurrë me formën e mbështjellë.

Pyet se për çfarë inkapsulimi u dakordësuan klienti dhe porta, pastaj shkruaj rregullin për pikërisht atë formë të jashtme dhe asgjë më shumë.

Shkruaj rregullin që dikush ta verifikojë

Shpreh çdo rregull si familje adresash, protokoll i jashtëm, porta transporti nëse ka, drejtim dhe të dy skajet. Një recensues mund ta krahasojë atë fjali me një regjistrim paketash dhe të arrijë në një verdikt. Udhëzimin për të hapur 47 nuk mund ta verifikojë askush, dhe për këtë arsye ai mbijeton me vite në librat e procedurave.

Shto testin që e vërteton: lidhu ndërsa regjistron në ndërfaqen e jashtme, dhe konfirmo protokollin dhe portën e jashtme që shfaqen vërtet në gjurmë.