ESP என்பது IP நெறிமுறை 50, TCP துறை 50 அல்ல: எதை அனுமதிக்க வேண்டும்
நெறிமுறை எண்களும் துறை எண்களும் வெவ்வேறு பெயர் இடங்கள். TCP துறை 50 க்கான விதி எதையும் அனுமதிக்காது, மேலும் NAT டிராவர்சல் ESP ஐ UDP 4500 க்கு நகர்த்துகிறது.
ஃபயர்வால் படிவங்கள் TCP துறையைக் கேட்கின்றன, வெளிப்படையான உள்ளீடு 50. அந்த உள்ளீடு எதையும் அனுமதிக்காது, ஏனெனில் ESP என்பது IP நெறிமுறை எண் 50, நெறிமுறை எண்கள் துறைகள் அல்ல. இரண்டு பெயர் இடங்களும் சிறிய முழு எண்களை மட்டுமே பகிர்ந்து கொள்கின்றன, வேறு எதையும் இல்லை, மேலும் IKE முடியும் வரையிலும் பாதுகாக்கப்பட்ட போக்குவரத்து ஒருபோதும் வராத வரையிலும் பிழை கண்ணுக்குத் தெரியாமல் இருக்கும்.
சிறிய எண்களைப் பகிரும் இரண்டு பெயர் இடங்கள்
ஒரு IP தலைப்பு அடுத்து வருவதைப் பெயரிடும் நெறிமுறை புலத்தைக் கொண்டுள்ளது: TCP க்கு 6, UDP க்கு 17, ICMP க்கு 1, ESP க்கு 50, AH க்கு 51. TCP அல்லது UDP தலைப்பு துறை எண்களைக் கொண்டுள்ளது, அவை இலக்கு புரவலனில் ஒரு செயல்முறையைத் தேர்ந்தெடுக்கின்றன. நெறிமுறை 50 மற்றும் TCP துறை 50 தொடர்பற்ற மதிப்புகள், ஆனால் ஒரு உரையாடல் பெட்டி அவற்றை மாற்றக்கூடியதாகத் தோற்றவைக்கலாம்.
அதனால்தான் துறை மறுவழியாக்க விதி இயல்பான ESP ஐ வெளிப்படுத்த முடியாது. மறுவழியாக்க ESP இலக்கு துறை இல்லை, துறை விதிகளை மட்டும் புரிந்துகொள்ளும் சாதனத்திற்கு அந்தப் பொதிக்கான சொல்லகராதியே இல்லை. சரியான விதி அதற்குப் பதிலாக IP நெறிமுறையைப் பெயரிடுகிறது. எந்த துறை உரையாடலும் அந்தப் பொதிக்குத் தவறான கருவி.
குழப்பத்திற்கு இரண்டாவது பாதியும் உண்டு. பொதி மறையாக்கப்பட்டிருக்கும்போது, அதன் உள்ளே உள்ள அனைத்தும் ஒளிபுகாததாக இருக்கும், அசல் இணைப்பின் TCP தலைப்பு உட்பட. அந்தப் பொதியில் துறைகளை ஆய்வு செய்யும் ஃபயர்வால் வெளிப்புற தலைப்பைப் பார்க்கிறது, இயல்பான நிலையில் அங்கு ஆய்வு செய்ய துறைகள் இல்லை.
இயல்பான ESP, பின்னர் மூடப்பட்ட மாற்று
இயல்பான ESP நேரடியாக IP நெறிமுறையாக எடுத்துச் செல்லப்படுகிறது, இது சமமாக திறனுள்ளதும் சிரமமானதும் ஆகும். கூடுதல் தலைப்பு இல்லாததால் திறனுள்ளது, முகவரிகள் மற்றும் துறைகளை மொழிபெயர்க்கும் எந்தச் சாதனமும் அதைக் கண்காணிக்க முடியாததால் சிரமமானது. NAT டிராவர்சல் இதைத் தீர்க்கவே உள்ளது: ESP பொதியை UDP உள்ளே சுற்றி, மொழிபெயர்ப்பாளருக்கு மீண்டும் எழுத துறைகளை அளிக்கிறது.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
இரண்டு வடிவங்களும் ஒரே தரவு சேனலின் மாற்று பயன்பாடுகள், ஒன்றின் அடுக்குகள் அல்ல. இயல்பான ESP ஐ அனுமதித்தால் மூடப்பட்ட வடிவம் அனுமதிக்கப்படாது, UDP 4500 ஐ அனுமதித்தால் இயல்பான போக்குவரத்து அனுமதிக்கப்படாது, எனவே விதித் தொகுப்பு பயன்பாட்டுடன் பொருந்த வேண்டும், தற்செயலாக இரண்டையும் மூடக்கூடாது.
இங்கே கண்டறிதலும் முக்கியம். முனைப் புள்ளிகள் பேச்சுவார்த்தையின் போது வடிவங்களுக்கிடையே முடிவு செய்கின்றன, மாற்றம் பொதுவாக அவற்றுக்கிடையே NAT கண்டறியப்படும்போது நிகழ்கிறது. எனவே சுரங்கம் நிறுவப்பட்ட பிறகு மாறும் பாதை, உங்கள் விதிகள் ஒருபோதும் மூடாத பெயர் இடத்திற்கு போக்குவரத்தை நகர்த்தலாம்.
இணைப்பு உண்மையில் எந்த வடிவத்தைப் பயன்படுத்துகிறது என்பதைப் படியுங்கள்
ஃபயர்வாலில் இருந்து ஊகிப்பதற்குப் பதிலாக முனைப் புள்ளியிடம் கேளுங்கள். Linux இல் நிலை உள்ளீடு, சங்கம் UDP மூடுதலைப் பயன்படுத்துகிறதா மற்றும் எந்தத் துறைகள் ஈடுபட்டுள்ளன என்பதைத் தெரிவிக்கிறது. பொதி பிடிப்பு அதே கேள்விக்கு கம்பியிலிருந்து பதிலளிக்கிறது, இரண்டும் விதித் தொகுப்பைப் படித்து நம்புவதை விட வேகமானவை.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'முதல் கட்டளை NAT டிராவர்சல் பயன்பாட்டில் இருக்கும்போது மூடுதல் வகையைக் காட்டுகிறது, இல்லாதபோது எதையும் காட்டுவதில்லை. இரண்டாவது இரண்டு வடிவங்களில் எது உண்மையில் இடைமுகத்தைக் கடக்கிறது என்பதைக் காட்டுகிறது, இது காகிதத்தில் சரியாகத் தோன்றும் கட்டமைப்பு பற்றிய விவாதங்களை முடிவுக்குக் கொண்டுவருகிறது.
எதிர்ச் சான்றும் அதே படிநிலையின் பகுதி. பூஜ்ஜியப் பொருத்தங்களைத் தெரிவிக்கும் விதி, பொதி ஒருபோதும் அதை அடையவில்லை என்று உங்களுக்குச் சொல்கிறது, அது ஃபயர்வாலின் அல்ல, வழிசெலுத்தல் அல்லது தேர்வியின் கேள்வி.
பின்னர் கட்டுப்பாட்டு சேனலைத் தனித்தனியாக உறுதிப்படுத்துங்கள். IKE க்கு அதன் சொந்தத் துறைகளும் அதன் சொந்தப் பதிவுகளும் உள்ளன, தரவு இல்லாமல் முடிந்த பேச்சுவார்த்தை இந்தக் கட்டுரை பேசும் அந்தப் பிரிவே ஆகும்.
விதியை சரியான பெயர் இடத்தில் எழுதுங்கள்
நெறிமுறை விதியும் துறை விதியும் வெவ்வேறு அறிவுறுத்தல்கள், எனவே கருவி நீங்கள் கருதுவதை வெளிப்படுத்த வேண்டும். nftables இல் நெறிமுறைப் பொருத்தம் வெளிப்படையானது, மூடப்பட்ட மாற்றுக்கு அதன் சொந்த UDP விதி கிடைக்கிறது. இரண்டு விதிகளையும் அருகருகே வைத்திருங்கள், மறுபார்வையில் இணை தெரியும் வண்ணம்.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptதவறான நோயறிதலை ஈடுசெய்ய எந்த விதியையும் விரிவாக்க வேண்டாம் என்ற சோதனையை எதிர்கொள்ளுங்கள். ஒவ்வொரு இடைமுகத்திலும் ESP நெறிமுறைக்கு எல்லாவற்றையும் அனுமதிப்பது, அல்லது எங்கிருந்தும் எங்கும் UDP அனுமதி, அறிகுறியைச் சரிசெய்து நீங்கள் அமைக்க முயன்ற கட்டுப்பாட்டை நீக்குகிறது. வடிவம் தெரிந்ததும் குறுகிய ஆதரவு ஓட்டம் கிட்டத்தட்ட எப்போதும் போதுமானது.
இறுதியாக, சுரங்கம் வேலை செய்து பயன்பாடு செயல்படாதபோது அடுக்குகளை நேராக வைத்திருங்கள். நுழைவாயிலை அடையும் பொதிகளுக்கு இன்னும் மறுவழியாக்கம், திரும்பும் பாதை மற்றும் அவற்றை ஏற்கும் கொள்கை தேவை, இவை எதுவும் ESP விதியால் வெளிப்படுத்தப்படுவதில்லை. காணாமல் போன துறை ஒரு குறிப்பிட்ட தோல்வியை விளக்குகிறது, ஒவ்வொரு IPsec தோல்வியையும் அல்ல. விதித் திருத்தத்தையும் வழிசெலுத்தல் சரிபார்ப்பையும் இரண்டு தனித்தனி முடிவுகளாக வைத்திருங்கள்.
நீங்கள் கவனித்த வடிவம், சேர்த்த நெறிமுறை விதி மற்றும் பின்னர் கண்ட எண்ணிக்கையைப் பதிவு செய்யுங்கள். மூன்று வரிகள், அடுத்த நபர் மதியத்திற்குப் பதிலாக ஒரு நிமிடத்தில் பெயர் இடப் பிழையை வழிசெலுத்தல் பிழையிலிருந்து வேறுபடுத்த முடியும்.