IKEv2 UDP 500 மற்றும் 4500 பயன்படுத்துகிறது: தரவை எந்தப் போர்ட் எடுத்துச் செல்கிறது?

ஃபயர்வாலில் UDP 500 திறப்பது சுரங்கப்பாதை பேச்சுவார்த்தை நடத்த அனுமதிக்கிறது, பின்னர் இணைப்பு போக்குவரத்தை கடத்துவதை நிறுத்துகிறது. போர்ட் பட்டியல் முழுமையற்றதாக இருந்தது, தவறானது அல்ல. IKEv2 ஒரு சாக்கெட்டில் தொடங்கி பல உண்மையான பயன்பாடுகளில் மற்றொன்றில் தொடர்கிறது, அதேசமயம் பேலோட் போர்ட் கூட இல்லாமல் இருக்கலாம். நிலைகளை வரிசையாகப் படிப்பது எந்த விதி காணவில்லை என்பதை விளக்குகிறது.

இரண்டு போர்ட்கள், இரண்டு வேலைகள்

IKEv2 UDP 500 இல் விசைப் பரிமாற்றத்துடன் தொடங்குகிறது, அங்கு இரு தரப்பும் தம்மை அங்கீகரித்து சுரங்கப்பாதைக்கான பாதுகாப்பு இணைப்பை நிறுவுகின்றன. தொடரும் தரவுப் பாதை தனி விஷயம்: அது போர்ட் அல்லாத IP நெறிமுறை எண்ணான உள்ளூர் ESP ஆகவோ, அல்லது 4500 இல் UDP உள்ளே பொதிந்த போக்குவரத்தாகவோ இருக்கலாம். ஃபயர்வால் மறுஆய்வில் இவற்றைத் தனித்தனியாக வைப்பதே பேச்சுவார்த்தை நடத்தும் சுரங்கப்பாதைக்கும் வேலை செய்யும் சுரங்கப்பாதைக்கும் இடையிலான வேறுபாடு. ஒரு சாக்கெட் கட்டுப்பாட்டையும் மற்றொன்று பேலோட்டையும் எடுத்துச் செல்கிறது.

எனவே 500 ஐ மட்டும் அனுமதிக்கும் விதி முழு நெறிமுறைக் குடும்பத்திலும் மிகக் குழப்பமான அறிகுறியை உருவாக்குகிறது: பேச்சுவார்த்தை வெற்றியடைகிறது, பயனுள்ள எதுவும் தொடர்வதில்லை. நிலை ஒரு சகாவைக் காட்டுகிறது, பதிவு நிறுவப்பட்ட IKE SA ஐக் காட்டுகிறது, இருப்பினும் பயன்பாடு நேரம் முடிந்துவிடுகிறது. காணாமல் போன அனுமதி இப்போது வெற்றியடைந்த ஓட்டத்திலிருந்து வேறுபட்ட ஓட்டத்திற்கு உரியது.

4500 ஏன் உள்ளது

பல NAT சாதனங்கள் TCP அல்லது UDP அல்லாத வேறு நெறிமுறையை அனுப்ப முடியாது, சில முகவரிகளை ESP இன் ஒருமைப்பாட்டுச் சரிபார்ப்பை உடைக்கும் வகையில் மீண்டும் எழுதுகின்றன. ESP ஐ UDP உள்ளே பொதிவது இரண்டு பிரச்சினைகளையும் தீர்க்கிறது, ஆனால் கூடுதல் தலைப்பு மற்றும் அனுமதிக்க வேண்டிய இரண்டாவது போர்ட் செலவில். அந்தப் பொதிவே இரண்டாவது போர்ட் இருப்பதற்கான காரணம்.

NAT கண்டறியப்பட்டதும் IKE தானே 4500 க்கு மாறுகிறது, எல்லா போக்குவரத்தும் மொழிபெயர்ப்பான் வழியாக ஒரு பாதையைப் பங்கிடும். ESP அல்லாத நான்கு பைட் அடையாளம் அந்த சாக்கெட்டில் கட்டுப்பாட்டுச் செய்திகளைத் தரவிலிருந்து பிரிக்கிறது. இந்த மாற்றம் நெறிமுறையின் முடிவு, நிர்வாகியின் விருப்பம் அல்ல.

மூல போர்ட் எங்கு மாறுகிறது

மொழிபெயர்ப்பான் வாடிக்கையாளரின் மூல போர்ட்டை மீண்டும் எழுதலாம், எனவே சேவையகத்தில் தெரியும் டியூபிள் வாடிக்கையாளரின் டியூபிளுடன் பொருந்தாது. ஒரு விதி புறக்கணிக்கப்படுகிறது என முடிவெடுக்கும் முன் ஒவ்வொரு NAT தாவலின் இரு பக்கங்களையும் பாருங்கள். வாடிக்கையாளரில் மட்டும் சிக்கலைத் தேடுவது சரியாகத் தெரிந்தும் தோல்வியடையும் விதியை உருவாக்கலாம்.

MOBIKE ஆதரவு உள்ள செயலாக்கங்கள் NAT கண்டறியப்படாமலும் 4500 க்கு மாறலாம், சில பயன்பாடுகள் அந்தப் பாதையை வேண்டுமென்றே கட்டாயப்படுத்துகின்றன. எனவே 4500 ஐப் பார்ப்பது ஒரு முடிவின் சான்று, வீட்டு ரவுட்டரின் சான்று அல்ல.

ஒவ்வொரு எல்லையிலும் இரு ஓட்டங்களையும் சரிபார்க்கவும்

மூன்று எல்லைகளைக் கடக்கவும்: வாடிக்கையாளர் நெட்வொர்க், எந்த இடைநிலை ஃபயர்வாலும், சேவையகம். ஒவ்வொன்றுக்கும் பயன்பாடு ஆவணப்படுத்தும் ஓட்டங்கள் தேவை, வேறு நிகழ்வு பற்றிய கட்டுரையின் ஓட்டங்கள் அல்ல.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ஃபயர்வால் பட்டியலில் ESP வரி ஒரு நெறிமுறைப் பொருத்தம், எனவே போர்ட் விதி அதை ஒருபோதும் மூடாது. இயக்குபவர் தனிப்பயன் போர்ட்டைப் பயன்படுத்தினால், இரு முனைகளிலும் ஆவணப்படுத்தப்பட்ட உள்ளமைவைப் பின்பற்றுங்கள், ஏனெனில் வாடிக்கையாளர் பரிச்சயமான எண்ணைத் தேர்ந்தெடுத்து சேவையகத்தில் கேட்பானை உருவாக்க முடியாது.

பேச்சுவார்த்தை எங்கு நின்றது, குழந்தை பாதுகாப்பு இணைப்பு நிறுவப்பட்டதா என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் அந்த இணை தடுக்கப்பட்ட பாதையை அங்கீகாரம் அல்லது கொள்கைப் பிழையிலிருந்து பிரிக்கிறது. பின்னர் சேவையகச் சரிபார்ப்பை இயக்கி சோதனையை மீண்டும் செய்யுங்கள், ஏனெனில் அணுகல் அங்கீகாரம் அல்ல. அந்தக் கடைசி படி அனுமதிக்கப்பட்ட போர்ட்டை நம்பகமான சகாவிலிருந்து பிரிக்கிறது.