IKEv2 hutumia UDP 500 na 4500: ipi hubeba data?

Mabadilishano ya kwanza na njia inayobeba data si mtiririko mmoja. Angalia bandari zote mbili, na kumbuka kwamba ESP asilia ni nambari ya itifaki, si bandari.

Kufungua UDP 500 kwenye firewall huiruhusu handaki kujadiliana, na kisha muunganisho huacha kupitisha trafiki. Orodha ya bandari haikuwa kamili, si makosa. IKEv2 huanza kwenye soketi moja na katika usambazaji mwingi halisi huendelea kwenye nyingine, wakati mzigo hauwezi kuwa bandari kabisa. Kusoma hatua kwa mpangilio kunaeleza sheria ipi inakosekana.

Bandari mbili, kazi mbili

IKEv2 huanza kwa kubadilishana funguo kwenye UDP 500, ambapo pande zote hujithibitisha na kuunda muungano wa usalama kwa handaki. Njia ya data inayofuata ni suala tofauti: inaweza kuwa ESP asilia, ambayo ni nambari ya itifaki ya IP na si bandari, au trafiki iliyofungwa ndani ya UDP kwenye 4500. Kutenganisha hizi katika ukaguzi wa firewall ni tofauti kati ya handaki inayojadiliana na handaki inayofanya kazi. Soketi moja hubeba udhibiti na nyingine mzigo.

Ndiyo sababu sheria inayoruhusu 500 pekee huzalisha dalili inayochanganya zaidi katika familia yote ya itifaki: majadiliano hufanikiwa na hakuna kitu cha manufaa kinachofuata. Hali inaonyesha mwenza, kumbukumbu inaonyesha IKE SA iliyoanzishwa, na programu bado inaisha muda. Ruhusa inayokosekana ni ya mtiririko tofauti na ule uliofanikiwa sasa hivi.

Kwa nini 4500 ipo kabisa

Vifaa vingi vya NAT haviwezi kusambaza itifaki nyingine isipokuwa TCP au UDP, na vingine huandika upya anwani kwa namna inayovunja ukaguzi wa uadilifu wa ESP. Kufunga ESP ndani ya UDP hutatua matatizo yote mawili, kwa gharama ya kichwa cha ziada na bandari ya pili inayopaswa kuruhusiwa. Ufungaji huo ndio sababu bandari ya pili ipo kabisa.

NAT inapogunduliwa, IKE yenyewe pia huhamia 4500 ili trafiki yote ishiriki njia moja kupitia mtafsiri. Alama ya baiti nne ambayo si ESP hutenganisha jumbe za udhibiti na data kwenye soketi hiyo. Mabadiliko hayo ni uamuzi wa itifaki, si upendeleo wa msimamizi.

Bandari chanzo hubadilika wapi

Mtafsiri anaweza kuandika upya bandari chanzo ya mteja, kwa hivyo tuple inayoonekana kwenye seva hailingani na tuple kwenye mteja. Angalia pande zote za kila hatua ya NAT kabla ya kuhitimisha kwamba sheria inapuuzwa. Utatuzi wa matatizo kwenye mteja pekee unaweza kutoa sheria inayoonekana sahihi na bado kushindwa.

Utekelezaji unaotumia MOBIKE unaweza pia kuhamia 4500 bila NAT kugunduliwa, na usambazaji mwingine hulazimisha njia hiyo kwa makusudi. Kwa hivyo kuona 4500 ni ushahidi wa uamuzi, si uthibitisho wa rauta ya nyumbani.

Angalia mitiririko yote miwili kwenye kila mpaka

Pitia mipaka mitatu: mtandao wa mteja, firewall yoyote ya kati, na seva. Kila mmoja unahitaji mitiririko inayodokumentwa na usambazaji, si mitiririko ya makala kuhusu kesi nyingine.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Mstari wa ESP kwenye orodha ya firewall ni ulinganifu wa itifaki, kwa hivyo sheria ya bandari haiwezi kuifunika kamwe. Ikiwa mwendeshaji anatumia bandari maalum, fuata usanidi uliodokumentwa kwenye ncha zote mbili, kwa sababu mteja hawezi kuunda msikilizaji kwenye seva kwa kuchagua nambari inayojulikana.

Rekodi mahali majadiliano yalipoishia na ikiwa muungano wa usalama wa mtoto ulisakinishwa, kwa sababu jozi hiyo hutenganisha njia iliyozuiwa na hitilafu ya uthibitishaji au sera. Kisha rudia jaribio ukiwa umewasha uthibitishaji wa seva, kwa sababu ufikivu si uthibitishaji. Hatua hiyo ya mwisho hutenganisha bandari iliyoruhusiwa na mwenza anayeaminika.

Makala zinazohusiana