Kwa nini L2TP/IPsec inahitaji UDP 1701 pamoja na IPsec

Vizuizi vya moto vinavyoruhusu IKE na ESP lakini si UDP 1701 huvunja miunganisho ya L2TP kwa namna inayofanana na tatizo la vitambulisho. Sababu ni kwamba L2TP ni itifaki ya pili inayosafiri ndani ya ile ya kwanza. IPsec hubeba na kuthibitisha mabadilishano, na L2TP huendesha handaki lake mwenyewe juu ya UDP 1701, ambayo tabaka la ndani bado linapaswa kuiwasilisha. Kujua kichwa cha habari kinachoonekana wapi kunaeleza kifaa gani kinahitaji kanuni gani.

Itifaki mbili, seti mbili za lango

Muunganisho wa L2TP/IPsec hutumia IKE kwenye UDP 500, uvukaji wa NAT kwenye UDP 4500 pale palipo na tafsiri, na ESP kama itifaki ya IP 50 pale hakuna. L2TP yenyewe ni itifaki ya handaki kwenye UDP 1701, na hufanya kazi baada ya IPsec kuthibitisha mwenzake. Nusu mbili hazifanikiwi kwa namna tofauti, na mistari ya kumbukumbu inayoripoti kuzihusu hutoka kwa vipengele tofauti. Seti ya kanuni inayoshughulikia nusu ya kwanza pekee huzalisha muunganisho unaojadiliana kisha kufa katika hatua ya handaki.

Namba za lango hueleza vituo vya mwisho vya usafirishaji, na ESP si lango hata kidogo. Ndiyo sababu kiolesura cha kizuizi cha moto kinachotoa kanuni za TCP na UDP pekee hakiwezi kueleza sera kamili ya IPsec. Itifaki 50 inapaswa kuruhusiwa kama itifaki, na kanuni inayotaja UDP pekee haitawahi kuilinganisha.

Kifuniko kinaeleza lango

Kwenye waya, muunganisho wa L2TP/IPsec kwa kawaida huonyesha IKE kwenye 500 na ESP iliyofunikwa kwenye 4500. Kichwa cha UDP 1701 kinakaa ndani ya mzigo uliolindwa, ndiyo sababu ukamataji kwenye kiolesura cha nje haukionyeshi. Mwenyeji wa ndani bado anapaswa kuwasilisha datagramu hiyo kwa daemoni ya L2TP, na uwasilishaji hufanyika baada ya kufungua kifuniko. Kwa hiyo kanuni ya 1701 ni ya kizuizi cha moto cha kituo cha mwisho chenyewe, hata pale hakuna kifaa cha kati kinachowahi kuona lango hilo.

Mpangilio wa uchakataji unaeleza sehemu kubwa ya mkanganyiko. Ikiwa tabaka linatumia sera ya IPsec kabla ya kichujio cha mwenyeji, pakiti ya L2TP iliyofunguliwa inalinganishwa kama UDP 1701; ikiwa mpangilio umegeuzwa, milango ya nje ndiyo seti ya kanuni inayoona. Tabia zote mbili zipo kivitendo, ndiyo sababu seti ile ile ya kanuni inaonekana kufanya kazi kwenye jukwaa moja na kushindwa kwenye lingine.

Kagua njia kwa mpangilio

Kwanza kamata kiolesura cha nje na uthibitishe kwamba IKE na ESP iliyofunikwa zinasonga pande zote mbili. Kisha kagua vihesabu vya kizuizi cha moto cha ndani kwa trafiki iliyofunguliwa. Mpangilio ni muhimu, kwa sababu ukamataji usioonyesha chochote unamaanisha tatizo liko juu ya mwenyeji.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Ukamataji unathibitisha nusu ya kwanza ya mabadilishano na kuonyesha kama mwenzake anajibu. Orodha ya kanuni inaonyesha kama kanuni ya 1701 ipo na inasimama wapi kuhusiana na sera yoyote ya kutupa. Orodha ya soketi inathibitisha kwamba daemoni ya L2TP imefungwa na inasikiliza, jambo linaloondoa huduma ambayo haikuanza kamwe. Soma zote tatu kabla ya kubadilisha kanuni, kwa sababu msikilizaji asiyekuwepo na lango lililochujwa huleta malalamiko yaleyale kutoka kwa mtumiaji.

Kile ambacho uchunguzi wa lango hauwezi kuonyesha

Uchunguzi wa nje wa UDP 1701 dhidi ya seva iliyosanidiwa ipasavyo kwa kawaida hauripoti chochote, na hilo ndilo tokeo linalotarajiwa. Lango haliko wazi kwa intaneti; hufikiwa tu baada ya IPsec kuthibitisha mwenzake. Kuchukua tokeo lililofungwa kama hitilafu hupelekea kufungua lango ambalo linapaswa kubaki limefungwa. Uchunguzi hauwezi kuona ndani ya handaki kama vile hauwezi kuona trafiki ya programu.

Badala yake jaribu kwa mteja halisi, na soma hatua inayofikia. Ikiwa muunganisho unajadiliana kisha unakwama, daemoni ya L2TP au kichujio cha ndani ndiye anayeshukiwa; ikiwa haujadiliani kamwe, milango ya nje ndiyo yenye lawama. Mgawanyiko huo mmoja huondoa sehemu kubwa ya kubahatisha kuhusu kanuni ipi ya kuongeza, na tabakishaji la itifaki huifanya iwe jambo linalotabirika badala ya fumbo.