ESP ni itifaki ya IP 50, si bandari ya TCP 50: nini cha kuruhusu

Fomu za firewall huuliza bandari ya TCP, na jibu lililo wazi ni 50. Jibu hilo haliruhusu kitu chochote, kwa sababu ESP ni itifaki ya IP namba 50 na namba za itifaki si bandari. Nafasi hizo mbili za majina hushirikiana tu namba kamili ndogo na hakuna kingine, na hitilafu hubaki isiyoonekana hadi IKE ikamilike na trafiki iliyolindwa isifike kamwe.

Nafasi mbili za majina zinazoshirikiana namba ndogo

Kichwa cha IP hubeba sehemu ya itifaki inayotaja kinachofuata: 6 kwa TCP, 17 kwa UDP, 1 kwa ICMP, 50 kwa ESP, 51 kwa AH. Kichwa cha TCP au UDP hubeba namba za bandari, ambazo huchagua mchakato kwenye mwenyeji lengwa. Itifaki 50 na bandari ya TCP 50 ni thamani zisizohusiana, lakini kisanduku cha mazungumzo kinaweza kuzifanya zionekane zinaweza kubadilishana.

Ndiyo sababu kanuni ya kuelekeza bandari haiwezi kueleza ESP asilia. Hakuna bandari lengwa ya ESP ya kuelekeza, na kifaa kinachoelewa tu kanuni za bandari hakina msamiati wowote kwa pakiti hiyo. Kanuni sahihi hutaja itifaki ya IP badala yake. Mazungumzo yoyote ya bandari ni chombo kisichofaa kwa pakiti hiyo.

Mkanganyiko una nusu ya pili. Pakiti inaposimbwa kwa njia fiche, kila kitu ndani yake hakionekani, ikiwa ni pamoja na kichwa cha TCP cha muunganisho wa awali. Firewall inayokagua bandari kwenye pakiti hiyo inaangalia kichwa cha nje, ambacho katika hali asilia hakina bandari za kukagua.

ESP asilia, kisha mbadala uliofungwa

ESP asilia hubebwa moja kwa moja kama itifaki ya IP, jambo ambalo ni la ufanisi na la usumbufu kwa kiwango sawa. Ni la ufanisi kwa sababu hakuna kichwa cha ziada, na la usumbufu kwa sababu kifaa chochote kinachotafsiri anwani na bandari hakiwezi kuifuatilia. NAT traversal ipo ili kutatua hilo, kwa kufunga pakiti ya ESP ndani ya UDP ili mtafsiri awe na bandari za kuandika upya.

Maumbo mawili ni usambazaji mbadala wa chaneli moja ya data, si tabaka za moja. Kuruhusu ESP asilia hakuruhusu umbo lililofungwa, na kuruhusu UDP 4500 hakuruhusu trafiki asilia, kwa hiyo seti ya kanuni inapaswa kuendana na usambazaji badala ya kufunika yote mawili kwa bahati.

Utambuzi pia ni muhimu hapa. Ncha za mwisho huamua kati ya maumbo wakati wa mazungumzo, na mabadiliko mara nyingi hutokea pale NAT inapogunduliwa kati yao. Kwa hiyo njia inayobadilika baada ya handaki kuwekwa inaweza kuhamisha trafiki hadi nafasi ya majina ambayo kanuni zako hazikuwahi kufunika.

Soma ni umbo gani muunganisho unatumia kwa hakika

Uliza ncha ya mwisho badala ya kukisia kutoka kwenye firewall. Kwenye Linux ingizo la hali huripoti ikiwa muungano unatumia ufungaji wa UDP na bandari zipi zinahusika. Unasaji wa pakiti hujibu swali lilelile kutoka kwenye waya, na zote mbili ni za haraka kuliko kusoma seti ya kanuni na kutumaini.

ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'

Amri ya kwanza inaonyesha aina ya ufungaji wakati NAT traversal inatumika na hakuna kitu wakati haitumiki. Ya pili inaonyesha ni umbo gani kati ya mawili unavuka kiolesura kwa hakika, na hilo humaliza mijadala kuhusu usanidi unaoonekana sahihi kwenye karatasi.

Ushahidi kinyume ni sehemu ya hatua hiyo hiyo. Kanuni inayoripoti sifuri ya mechi inakuambia pakiti haikufika kamwe, na hilo ni swali la uelekezaji au la kichaguzi, si la firewall.

Kisha thibitisha chaneli ya udhibiti kwa tofauti. IKE ina bandari zake na kumbukumbu zake, na mazungumzo yaliyokamilika bila data ni hasa mgawanyiko ambao makala hii inahusu.

Andika kanuni katika nafasi sahihi ya majina

Kanuni ya itifaki na kanuni ya bandari ni maelekezo tofauti, kwa hiyo chombo lazima kieleze kile unachokusudia. Katika nftables ulinganifu wa itifaki ni wazi, na mbadala uliofungwa hupata kanuni yake ya UDP. Weka kanuni mbili karibu ili jozi lionekane wakati wa mapitio.

nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } accept

Usipanue yoyote ya kanuni ili kufidia utambuzi usio sahihi. Kuruhusu kila kitu kwa itifaki ya ESP kwenye kila kiolesura, au ruhusa ya UDP kutoka mahali popote hadi mahali popote, hurekebisha dalili na kuondoa udhibiti uliokuwa ukijaribu kuweka. Mtiririko mwembamba unaotumika mara nyingi hutosha mara moja umbo linapojulikana.

Mwisho, weka tabaka sawa wakati handaki inafanya kazi na programu haifanyi. Pakiti zinazofika kwenye lango bado zinahitaji uelekezaji, njia ya kurudi na sera inayozikubali, na hakuna hata moja ya haya inayoelezwa na kanuni ya ESP. Bandari inayokosekana inaeleza kushindwa mahususi, si kila kushindwa kwa IPsec. Weka marekebisho ya kanuni na ukaguzi wa uelekezaji kama hitimisho mbili tofauti.

Andika umbo uliloona, kanuni ya itifaki uliyoongeza na kihesabu ulichokiona baadaye. Mistari mitatu, na mtu anayefuata anaweza kutofautisha kosa la nafasi ya majina na kosa la uelekezaji kwa dakika moja badala ya mchana.