L2TP/IPsec க்கு IPsec கூடுதலாக UDP 1701 ஏன் தேவை

IKE மற்றும் ESP ஐ அனுமதித்து UDP 1701 ஐ அனுமதிக்காத தீர்வெச்சுகள் L2TP இணைப்புகளை அடையாளச் சான்று சிக்கல் போலத் தோன்றும் வகையில் உடைக்கின்றன. காரணம் L2TP முதல் ஒன்றின் உள்ளே பயணிக்கும் இரண்டாவது நெறிமுறை என்பதுதான். IPsec பரிமாற்றத்தைச் சுமந்து அங்கீகரிக்கிறது, L2TP தனது சொந்தச் சுரங்கத்தை UDP 1701 மீது இயக்குகிறது, அதை உள்ளூர் அடுக்கு இன்னும் வழங்க வேண்டும். ஒவ்வொரு தலைப்பும் எங்கு தோன்றுகிறது என்பதை அறிவது எந்தச் சாதனத்திற்கு எந்த விதி தேவை என்பதை விளக்குகிறது.

இரண்டு நெறிமுறைகள், இரண்டு துறைமுகத் தொகுப்புகள்

L2TP/IPsec இணைப்பு UDP 500 இல் IKE ஐ, மொழிபெயர்ப்பு உள்ள இடத்தில் UDP 4500 இல் NAT கடத்தலை, இல்லாத இடத்தில் IP நெறிமுறை 50 ஆக ESP ஐப் பயன்படுத்துகிறது. L2TP தானே UDP 1701 இல் ஒரு சுரங்க நெறிமுறை, IPsec எதிர்முனையை அங்கீகரித்த பிறகே அது இயங்குகிறது. இரண்டு பகுதிகளும் வெவ்வேறு வழிகளில் தோல்வியடைகின்றன, அவற்றைப் பற்றிப் புகாரளிக்கும் பதிவு வரிகள் வெவ்வேறு பகுதிகளிலிருந்து வருகின்றன. முதல் பாதியை மட்டும் உள்ளடக்கும் விதித் தொகுப்பு பேச்சுவார்த்தை நடத்தி பின்னர் சுரங்கக் கட்டத்தில் இறக்கும் இணைப்பை உருவாக்குகிறது.

துறைமுக எண்கள் போக்குவரத்து முனைகளை விவரிக்கின்றன, ESP ஒரு துறைமுகமே அல்ல. அதனால்தான் TCP மற்றும் UDP விதிகளை மட்டும் வழங்கும் தீர்வெச்சு இடைமுகம் முழுமையான IPsec கொள்கையை வெளிப்படுத்த முடியாது. நெறிமுறை 50 ஒரு நெறிமுறையாக அனுமதிக்கப்பட வேண்டும், UDP ஐ மட்டும் குறிப்பிடும் விதி அதனுடன் ஒருபோதும் பொருந்தாது.

உறைதான் துறைமுகத்தை விளக்குகிறது

கம்பியில், L2TP/IPsec இணைப்பு பொதுவாக 500 இல் IKE ஐயும் 4500 இல் உறைந்த ESP ஐயும் காட்டுகிறது. UDP 1701 தலைப்பு பாதுகாக்கப்பட்ட சுமைக்குள் அமைகிறது, அதனால்தான் வெளிப்புற இடைமுகத்தில் எடுக்கும் பிடிப்பு அதைக் காட்டாது. உள்ளூர் புரவலன் அந்த தரவுக்கூறை L2TP பின்னணி நிரலுக்கு இன்னும் வழங்க வேண்டும், வழங்குதல் மறைநீக்கத்திற்குப் பிறகு நடக்கிறது. எனவே 1701 விதி முனையின் சொந்தத் தீர்வெச்சுக்கே உரியது, எந்த இடைநிலைச் சாதனமும் அந்தத் துறைமுகத்தை ஒருபோதும் பாராவிட்டாலும்.

செயலாக்க வரிசை குழப்பத்தின் பெரும்பகுதியை விளக்குகிறது. அடுக்கு புரவலன் வடிகட்டிக்கு முன் IPsec கொள்கையைப் பயன்படுத்தினால், மறைநீக்கப்பட்ட L2TP பொதி UDP 1701 ஆகப் பொருந்துகிறது; வரிசை தலைகீழாக இருந்தால், விதித் தொகுப்பு காண்பது வெளிப்புறத் துறைமுகங்களே. இரண்டு நடத்தைகளும் நடைமுறையில் உள்ளன, அதனால்தான் ஒரே விதித் தொகுப்பு ஒரு தளத்தில் இயங்கி மற்றொன்றில் தோல்வியடைவது போலத் தெரிகிறது.

வரிசையாகப் பாதையைச் சரிபார்க்கவும்

முதலில் வெளிப்புற இடைமுகத்தில் பிடிப்பு எடுத்து IKE மற்றும் உறைந்த ESP இரு திசைகளிலும் நகைகிறதா என்பதை உறுதிசெய்யவும். பிறகு மறைநீக்கப்பட்ட போக்குவரத்திற்கான உள்ளூர் தீர்வெச்சு எண்ணிகளைச் சரிபார்க்கவும். வரிசை முக்கியம், ஏனெனில் எதையும் காட்டாத பிடிப்பு என்பது சிக்கல் புரவலனுக்கு மேலே உள்ளது என்று பொருள்.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

பிடிப்பு பரிமாற்றத்தின் முதல் பாதியை உறுதிசெய்து எதிர்முனை பதிலளிக்கிறதா என்பதைக் காட்டுகிறது. விதிப் பட்டியல் 1701 விதி உள்ளதா, எந்த நிராகரிப்புக் கொள்கையையும் ஒப்பிடும்போது அது எங்கே நிற்கிறது என்பதைக் காட்டுகிறது. சாக்கெட் பட்டியல் L2TP பின்னணி நிரல் பிணைக்கப்பட்டு கேட்பதை உறுதிசெய்கிறது, இது ஒருபோதும் தொடங்காத சேவையை விலக்குகிறது. விதியை மாற்றும் முன் மூன்றையும் படியுங்கள், ஏனெனில் கேட்பவர் இல்லாத நிலையும் வடிகட்டப்பட்ட துறைமுகமும் பயனரிடமிருந்து ஒரே மாதிரியான புகாரை உருவாக்குகின்றன.

துறைமுக ஸ்கேன் காட்ட முடியாதது

சரியாக அமைக்கப்பட்ட சேவையகத்திற்கு எதிரான UDP 1701 இன் வெளிப்புற ஸ்கேன் பொதுவாக எதையும் புகாரளிக்காது, அதுவே எதிர்பார்க்கப்பட்ட முடிவு. துறைமுகம் இணையத்திற்கு வெளிப்படுத்தப்படவில்லை; IPsec எதிர்முனையை அங்கீகரித்த பிறகே அதை அடைய முடியும். மூடிய முடிவைக் குறையாகக் கருதினால் மூடியே இருக்க வேண்டிய துறைமுகம் திறக்கப்படும். ஸ்கேன் பயன்பாட்டுப் போக்குவரத்தைப் பார்க்க முடியாத அளவுக்கே சுரங்கத்தின் உள்ளேயும் பார்க்க முடியாது.

அதற்குப் பதிலாக உண்மையான வாடிக்கையாளருடன் சோதித்து, அது எந்தக் கட்டத்தை அடைகிறது என்பதைப் படியுங்கள். இணைப்பு பேச்சுவார்த்தை நடத்தி பின்னர் நின்றுவிட்டால், L2TP பின்னணி நிரலோ உள்ளூர் வடிகட்டியோ சந்தேகத்திற்குரியது; அது ஒருபோதும் பேச்சுவார்த்தை நடத்தவில்லை என்றால், வெளிப்புறத் துறைமுகங்களே காரணம். அந்த ஒரே பிரிவு எந்த விதியைச் சேர்ப்பது என்பதற்கான ஊகத்தின் பெரும்பகுதியை நீக்குகிறது, நெறிமுறை அடுக்குகள் அதை மர்மமாக அல்லாமல் முன்கணிக்கக்கூடியதாக ஆக்குகின்றன.