TCP மீது IKE 4500: போர்ட் விதிக்கு முன் இரு முனைகளையும் சரிபார்க்கவும்
TCP என்கேப்சுலேஷன் இரு முனைகளாலும் பேச்சுவார்த்தை செய்யப்படுகிறது, ஃபயர்வால் விதி அதை வழங்குவதில்லை. லிசனர் சரிபார்ப்பு, பிடிப்பு மற்றும் நான்கு ஏற்பு நிலைகளை வரிசையாக இயக்கவும்.
ஆதரவு டிக்கெட்டுகள் பெரும்பாலும் ஃபயர்வால் மாற்றம் ஏற்கனவே அனுமதிக்கப்பட்ட பிறகும் சுரங்கப்பாதை இன்னும் மேலே வர மறுக்கும் போது வருகின்றன. ஒரு முனையில் மட்டுமே அம்சம் இருக்கும்போது இதுவே எதிர்பார்க்கப்படும் விளைவு: RFC 9329 இன் படி TCP என்கேப்சுலேஷன் இரு முனைகளிலும் செயல்படுத்தப்பட்டு கட்டமைக்கப்பட வேண்டும், மேலும் எந்தப் பாதுகாக்கப்பட்ட போக்குவரத்தும் நகரும் முன் ஒப்பந்தம் இணைப்பின் உள்ளேயே நடைபெறுகிறது. ஒரு போர்ட்டைத் திறப்பது இல்லாமல் இருக்கக்கூடிய லிசனரை விளம்பரப்படுத்துவதாகும், மறுபுறம் பொருந்தும் கட்டமைப்பு இல்லாத லிசனர் இணைப்பை ஏற்றுக்கொண்டு பின்னர் அமைதியாகிவிடும். கீழேயுள்ள வரிசை மலிவான சரிபார்ப்புகளை முதலில் வைக்கிறது.
விருப்பம் உண்மையில் என்ன சேர்க்கிறது என்பதை அறிக
இயல்பான IPsec மறையாக்கப்பட்ட பேலோடுகளை இவ்வாறு எடுத்துச் செல்கிறது: IP நெறிமுறை 50, அனுமதிக்க வேண்டிய போர்ட் எண் இல்லாமல். NAT டிராவர்சல் அந்தப் பொதிகளை UDP இல் சுற்றி போர்ட் 4500 க்கு அனுப்புகிறது, அதனால்தான் இவ்வளவு ஃபயர்வால் விதிகள் அந்தப் போர்ட்டைக் குறிப்பிடுகின்றன. RFC 9329 ஒரு ஸ்ட்ரீம் பிரதிநிதித்துவத்தைச் சேர்க்கிறது: IKE மற்றும் IPsec பொதிகள் இரண்டும் ஒரே TCP இணைப்பின் உள்ளே, பொதுவாக போர்ட் 4500 க்கு பயணிக்கின்றன.
ஸ்ட்ரீம் ஒரு வலைச் சேவை அல்ல. 4500 க்கு TCP இணைப்பு HTTP, TLS அல்லது ப்ராக்ஸி நட்பு பற்றி எதுவும் சொல்லாது, வழியில் உள்ள HTTP ப்ராக்ஸி அதை எடுத்துச் செல்வதற்குப் பதிலாக பொதிவை உடைக்கும்.
ஃபயர்வாலைத் தொடும் முன் முன் சரிபார்ப்பு
தரநிலை TCP ஐ UDP பாதையை விட்டுவிடும் நெட்வொர்க்குகளுக்கான மாற்றாக வைக்கிறது, அதற்கு மாற்றாக அல்ல. ஒவ்வொரு விற்பனையாளரிடமும் இரு உண்மைகளைப் பெறுங்கள்: அம்சத்தின் சரியான பெயர் மற்றும் உரிமையாளர் வகையை விட RFC 9329 ஐ செயல்படுத்தும் பதிப்பு. IPsec over TCP போன்ற லேபிள்கள் தொடர்பில்லாத வடிவமைப்புகளுக்குப் பயன்படுத்தப்பட்டுள்ளன, எனவே ஆவணக் குறிப்பையும் அதை இயக்கும் கட்டமைப்பு விசையையும் கேளுங்கள். இரு பதில்களும் இல்லாமல் கம்பி இணக்கத்தன்மை பற்றி எதையும் கருத வேண்டாம்.
இரு முனைகளும் உங்களுடையதான ஆய்வகத்தில் இதை நிரூபிக்கவும். TCP 4500 க்கு பதிலளிக்கும் ஆனால் IKE ஐ ஒருபோதும் முடிக்காத கேட்வே மறுபுறம் பொருந்தும் என்கேப்சுலேஷன் இல்லாத லிசனரின் அடையாளம், அதை அங்கு கண்டறிவது மாற்ற சாளரத்தின் போது கண்டறிவதை விட மிகவும் மலிவு.
பதிலளிப்பவர் பக்கத்தில்: ஏதேனும் கேட்கிறதா
சாக்கெட்டில் தொடங்குங்கள். ss -ltnp | grep 4500 TCP லிசனர் இருக்கிறதா, எந்த செயல்முறை அதை வைத்திருக்கிறது என்பதைக் காட்டுகிறது. ஒரு வரி இல்லாதது விசாரணையை நெட்வொர்க்கில் அல்ல, கேட்வே கட்டமைப்பில் முடிக்கிறது.
சாக்கெட் இருந்தால், கிளையண்ட் பக்கத்திலிருந்து ஊகிப்பதற்குப் பதிலாக கைக்குலுக்கலைப் பாருங்கள்: tcpdump -ni any 'tcp port 4500'. முடிந்த மூன்று வழி கைக்குலுக்கலைத் தொடர்ந்து அமைதி என்பது ஸ்ட்ரீம் ஏற்கப்பட்டது மற்றும் அதற்குள் IKE பரிமாற்றம் தோல்வியடைந்தது என்பதாகும், ஆனால் பதிலில்லாத SYN வடிகட்டுதல் அல்லது தவறான முகவரியைச் சுட்டுகிறது.
இரண்டும் கலக்காமல் இருக்க அதே பிடிப்பு சாளரத்தில் UDP பாதையுடன் ஒப்பிடுங்கள்: tcpdump -ni any 'udp port 4500 or proto 50'. TCP பயன்படுத்தப்படுகிறது என்று நீங்கள் நினைக்கும்போது நெறிமுறை 50 அல்லது UDP போர்ட் 4500 இல் போக்குவரத்து இருப்பது இரு முனைகளும் மாற்றுப் பாதையில் ஒருபோதும் ஒப்புக்கொள்ளவில்லை என்பதாகும். முடிந்தால் கேட்வேயிலும் பிடியுங்கள், ஏனெனில் கிளையண்ட் பக்கப் பிடிப்பு தொலை முனை என்ன அனுப்பியது என்பதைக் காட்ட முடியாது.
நான்கு தனி நிலைகளில் ஏற்றுக்கொள்ளுங்கள்
எழுவதை நான்கு முடிவுகளாகக் கருதுங்கள். ஒவ்வொன்றும் வெவ்வேறு காரணத்தால் தோல்வியடையலாம், ஒரே தேர்ச்சி அல்லது தோல்வி எது என்பதை மறைக்கிறது, எனவே தோல்வியடையும் முதல் நிலையில் நிறுத்தி மீண்டும் மேலிருந்து தொடங்குங்கள்.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
நான்காவது நிலைதான் தவிர்க்கப்படுகிறது. இருக்கும் அமர்வு தற்காலிகச் சேமிப்பு நிலையில் தொடர்ந்து செயல்படலாம், எனவே மாற்றத்தை மூடும் முன் கேட்வேக்குப் பின்னால் உள்ள ஹோஸ்ட்டுக்கு புதிய இணைப்பைத் திறங்கள். இரண்டாம் நிலை தோல்வியடைந்து முதல் நிலை தேர்ச்சி பெற்றால், வேறுபாடு முன்மொழிவில் அல்லது என்கேப்சுலேஷன் அமைப்பில் உள்ளது, ஃபயர்வாலில் அல்ல.
பின்னிழுத்தல், மற்றும் அதை இயக்கத்தில் வைப்பதன் விலை
மாற்றத்திற்கு முன் செயலிழப்பைத் திட்டமிடுங்கள்: இரு முனைகளிலும் என்கேப்சுலேஷன் விருப்பத்தை அணைத்து சுரங்கப்பாதை UDP வழியாகத் திரும்புகிறதா என்பதை உறுதிப்படுத்துங்கள். மாற்றுப் பாதை மீண்டும் தேவைப்பட்டால் ஒரு மதிப்பாய்வு சுழற்சிக்கு TCP விதியை வைத்திருந்து பின்னர் அதை நீக்குங்கள். 4500 இல் பயன்படுத்தப்படாத லிசனர் எந்த செயல்பாட்டு மதிப்பும் இல்லாத மேற்பரப்பு.
உண்மையான வேலையைச் சுமக்கத் தொடங்கியதும் செயல்திறன் அடையாளத்தைக் கவனியுங்கள். TCP க்குள் TCP ஒரே இழப்பில் நிற்கும் உறுதிப்படுத்தல் அடுக்குகளைச் சேர்க்கிறது, ஒரு இணைப்பைப் பகிரும் ஸ்ட்ரீம்கள் ஒன்றையொன்று தடுக்கலாம், எனவே ping க்குப் பதிலாக சுரங்கப்பாதையைப் பயன்படுத்தும் பயன்பாட்டை அளவிடுங்கள்.
ஏற்புப் பட்டியல்
இரு முனைகளிலும் அம்சத்தின் பெயரையும் பதிப்பையும், பதிலளிப்பவர் பக்கத்தில் லிசனரையும், முழுமையான கைக்குலுக்கலைக் காட்டும் பிடிப்பையும், நேர முத்திரைகளுடன் பதிவு செய்யப்பட்ட நான்கு நிலைகளையும் உறுதிப்படுத்துங்கள். அடுத்த பொறியாளர் TCP ஏன் உள்ளது என்பதை அறிய மாற்றப் பதிவில் மாற்றுப் பாதையின் காரணத்தைச் சேர்க்கவும். தேவைப்படும் முன் பின்னிழுத்தலைப் பயிற்சி செய்யுங்கள்.
ஏதேனும் நிலை தோல்வியடைந்தால், அந்த நிலையை மட்டும் சரிசெய்யுங்கள். போக்குவரத்துப் பிரச்சினையைத் துரத்த சைஃபர் தொகுப்பையோ அடையாள அமைப்புகளையோ மாற்றுவது பொதுவாக முதல் மீது இரண்டாவது, தொடர்பில்லாத தோல்வியைச் சேர்க்கிறது.