IKE преко TCP 4500: проверите оба краја пре правила порта
TCP инкапсулацију договарају оба краја, а не даје је правило заштитног зида. Изведите проверу слушаоца, снимање и четири фазе прихватања по реду.
Тикети подршке често стижу када је измена заштитног зида већ одобрена, а тунел још одбија да се подигне. То је очекивани резултат када само једна страна има функцију: TCP инкапсулацију по RFC 9329 треба имплементирати и конфигурисати на оба краја, а договор се дешава унутар везе пре него што се покрене било који заштићени саобраћај. Отварање порта оглашава слушаоца који можда не постоји, а слушалац без одговарајуће конфигурације на другој страни прихвата везу и затим заћути. Редослед испод ставља јефтине провере прве.
Знајте шта опција заправо додаје
Уграђени IPsec преноси шифроване корисне терете као IP протокол 50, без броја порта који треба дозволити. NAT traversal замотава те пакете у UDP на порт 4500, и зато толико правила заштитног зида помиње тај порт. RFC 9329 додаје приказ тока: пакети IKE и IPsec обоје путују унутар једне TCP везе, обично на порт 4500.
Ток није веб услуга. TCP веза на 4500 не говори ништа о HTTP, TLS или пријатељству са посредником, а HTTP посредник на путу обично ће сломити уоквиравање уместо да га пренесе.
Претходна провера пре него што додирнете заштитни зид
Стандард поставља TCP као резервну опцију за мреже које одбацују UDP пут, а не као његову замену. Узмите две чињенице од сваког добављача: тачан назив функције и верзију која имплементира RFC 9329, а не сопствену варијанту. Ознаке попут IPsec over TCP коришћене су за неповезане пројекте, зато тражите референцу документа и конфигурациони кључ који је укључује. Без оба одговора не претпостављајте ништа о компатибилности на жици.
Докажите то у лабораторији где су оба краја ваша. Излаз који одговара на TCP 4500 али никада не завршава IKE је потпис слушаоца без одговарајуће инкапсулације на другој страни, и то је много јефтиније открити тамо него током прозора измене.
На страни која одговара: да ли нешто слуша
Почните од сокета. ss -ltnp | grep 4500 показује да ли постоји TCP слушалац и који процес га поседује. Одсуство линије завршава истрагу на конфигурацији излаза, а не на мрежи.
Ако је сокет ту, посматрајте руковање уместо да претпостављате са клијентске стране: tcpdump -ni any 'tcp port 4500'. Завршено тронасочно руковање праћено тишином значи да је ток прихваћен и да је размена IKE у њему неуспела, док SYN без одговора указује на филтрирање или на погрешну адресу.
Упоредите са UDP путем у истом прозору снимања да се два не помешају: tcpdump -ni any 'udp port 4500 or proto 50'. Саобраћај на протоколу 50 или UDP порту 4500 док верујете да се користи TCP значи да се стране никада нису договориле о резерви. Снимајте и на излазу ако можете, јер снимање са клијентске стране не може да покаже шта је послао далеки крај.
Прихватите у четири одвојене фазе
Третирајте подизање као четири резултата. Сваки може да не успе из различитог разлога, а један једини успех или неуспех крије који је био, зато застаните на првој фази која не успева и почните поново од врха.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Четврта фаза је она која се прескаче. Постојећа сесија може наставити да ради на кешираном стању, зато отворите нову везу ка хосту иза излаза пре него што затворите измену. Ако друга фаза не успе док прва пролази, неслагање је у предлогу или у подешавању инкапсулације, а не у заштитном зиду.
Враћање назад и цена да се то остави укључено
Планирајте враћање пре измене: искључите опцију инкапсулације на оба краја и потврдите да се тунел враћа преко UDP. Задржите TCP правило један циклус прегледа у случају да резерва поново затреба, а затим га уклоните. Неискоришћен слушалац на 4500 је површина без оперативне вредности.
Пратите потпис перформанси када почне да носи прави посао. TCP у TCP додаје слојеве потврде који застају при једном губитку, а токови који деле једну везу могу блокирати један другог, зато мерите апликацију која ће користити тунел уместо ping.
Списак прихватања
Потврдите назив и верзију функције на оба краја, слушаоца на страни која одговара, снимање које показује завршено руковање и четири фазе забележене са временским ознакама. Додајте разлог резерве у запис измене да следећи инжењер зна зашто је TCP ту. Вежбајте враћање пре него што вам затреба.
Ако било која фаза не успе, поправите само ту фазу. Промена шифре или подешавања идентитета да бисте јурили проблем транспорта обично додаје други, неповезани неуспех на први.