IKE juu ya TCP 4500: angalia pande zote mbili kabla ya kanuni ya lango
Ufungashaji wa TCP hujadiliwa na pande zote mbili, hautolewi na kanuni ya firewall. Endesha ukaguzi wa msikilizaji, ukamataji na hatua nne za kukubali kwa mpangilio.
Tiketi za usaidizi mara nyingi huja wakati mabadiliko ya firewall yameidhinishwa tayari na handaki bado inakataa kupanda. Hiyo ni matokeo yanayotarajiwa wakati upande mmoja tu una kipengele: ufungashaji wa TCP kulingana na RFC 9329 lazima utekelezwe na kusanidiwa pande zote mbili, na makubaliano hufanyika ndani ya muunganisho kabla ya trafiki yoyote iliyolindwa kusonga. Kufungua lango hutangaza msikilizaji ambaye huenda hayupo, na msikilizaji asiye na usanidi unaolingana upande wa pili hukubali muunganisho kisha hunyamaza. Mpangilio ulio hapa chini unaweka ukaguzi wa bei nafuu mbele.
Jua kile chaguo huongeza kwa kweli
IPsec asilia husafirisha mizigo iliyosimbwa kama itifaki ya IP 50, bila nambari ya lango la kuruhusu. NAT traversal hufunga pakiti hizo ndani ya UDP kuelekea lango 4500, na ndiyo sababu kanuni nyingi za firewall hutaja lango hilo. RFC 9329 huongeza uwakilishi wa mtiririko: pakiti za IKE na IPsec zote husafiri ndani ya muunganisho mmoja wa TCP, kwa kawaida kuelekea lango 4500.
Mtiririko si huduma ya wavuti. Muunganisho wa TCP kuelekea 4500 hausemi chochote kuhusu HTTP, TLS au urafiki wa proksi, na proksi ya HTTP iliyo njiani kwa kawaida itavunja uundaji wa fremu badala ya kuubeba.
Ukaguzi wa awali kabla ya kugusa firewall
Kiwango kinaweka TCP kama njia mbadala kwa mitandao inayotupa njia ya UDP, si kama mbadala wake. Pata ukweli mbili kutoka kwa kila msambazaji: jina kamili la kipengele na toleo linalotekeleza RFC 9329 badala ya lahaja ya umiliki. Lebo kama IPsec over TCP zimetumika kwa miundo isiyohusiana, kwa hivyo omba rejeleo la hati na ufunguo wa usanidi unaoiwasha. Bila majibu yote mawili, usidhani chochote kuhusu upatanifu wa waya.
Thibitisha hilo katika maabara ambapo pande zote mbili ni zako. Lango linalojibu TCP 4500 lakini haliisha IKE ni alama ya msikilizaji asiye na ufungashaji unaolingana upande wa pili, na kuigundua hapo ni bei nafuu sana kuliko wakati wa dirisha la mabadiliko.
Kwa upande wa anayejibu: kuna kitu kinasikiliza
Anza na soketi. ss -ltnp | grep 4500 huonyesha kama msikilizaji wa TCP yupo na mchakato gani unamiliki. Kutokuwepo kwa mstari humaliza uchunguzi kwenye usanidi wa lango badala ya mtandao.
Ikiwa soketi ipo, tazama salamu ya mkono badala ya kukisia kutoka upande wa mteja: tcpdump -ni any 'tcp port 4500'. Salamu ya mkono ya njia tatu iliyokamilika ikifuatiwa na ukimya inamaanisha mtiririko ulikubaliwa na ubadilishanaji wa IKE ndani yake umeshindikana, wakati SYN bila jibu inaelekeza kwenye uchujaji au anwani isiyo sahihi.
Linganisha na njia ya UDP katika dirisha lile lile la ukamataji ili zisichanganyike: tcpdump -ni any 'udp port 4500 or proto 50'. Trafiki kwenye itifaki 50 au lango la UDP 4500 wakati unadhani TCP inatumika inamaanisha pande hazikuwahi kukubaliana kuhusu njia mbadala. Kamata pia kwenye lango ikiwa unaweza, kwa sababu ukamataji wa upande wa mteja hauwezi kuonyesha kile upande wa mbali ulituma.
Kubali katika hatua nne tofauti
Chukulia kupanda kama matokeo manne. Kila moja linaweza kushindikana kwa sababu tofauti, na kufaulu au kushindwa moja kunaficha ni lipi, kwa hivyo simama katika hatua ya kwanza inayoshindikana na uanze tena kutoka juu.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Hatua ya nne ni ile inayorukwa. Kikao kilichopo kinaweza kuendelea kufanya kazi kwenye hali iliyohifadhiwa, kwa hivyo fungua muunganisho mpya kwa mwenyeji aliye nyuma ya lango kabla ya kufunga mabadiliko. Ikiwa hatua ya pili inashindikana wakati ya kwanza inapita, kutokubaliana kuko kwenye pendekezo au kwenye mpangilio wa ufungashaji, si kwenye firewall.
Kurudi nyuma, na gharama ya kuiacha imewashwa
Panga kufuta kabla ya mabadiliko: zima chaguo la ufungashaji pande zote mbili na uthibitishe kuwa handaki inarudi kwa UDP. Weka kanuni ya TCP kwa mzunguko mmoja wa ukaguzi ikiwa njia mbadala itahitajika tena, kisha iondoe. Msikilizaji asiyetumika kwenye 4500 ni uso bila thamani yoyote ya uendeshaji.
Angalia alama ya utendaji mara inapobeba kazi halisi. TCP ndani ya TCP huongeza tabaka za uthibitisho zinazokwama kwenye upotevu mmoja, na mitiririko inayoshiriki muunganisho mmoja inaweza kuzuiana, kwa hivyo pima programu itakayotumia handaki badala ya ping.
Orodha ya kukubali
Thibitisha jina na toleo la kipengele pande zote mbili, msikilizaji kwa upande wa anayejibu, ukamataji unaoonyesha salamu ya mkono iliyokamilika, na hatua nne zilizorekodiwa na mihuri ya muda. Ongeza sababu ya njia mbadala kwenye rekodi ya mabadiliko ili mhandisi anayefuata ajue kwa nini TCP iko hapo. Fanya mazoezi ya kurudi nyuma kabla ya kuihitaji.
Ikiwa hatua yoyote inashindikana, rekebisha hatua hiyo pekee. Kubadilisha seti ya sifa au mipangilio ya utambulisho ili kufuatilia tatizo la usafirishaji kwa kawaida huongeza kushindwa kwa pili, kusikohusiana juu ya kwanza.