TCP పై IKE 4500: పోర్ట్ నియమానికి ముందు రెండు చివరలను తనిఖీ చేయండి
TCP ఎన్క్యాప్సులేషన్ రెండు చివరలు చర్చించుకుంటాయి, ఫైర్వాల్ నియమం దానిని ఇవ్వదు. లిసనర్ తనిఖీ, క్యాప్చర్ మరియు నాలుగు అంగీకార దశలను క్రమంగా నడపండి.
మద్దతు టిక్కెట్లు తరచుగా ఫైర్వాల్ మార్పు ఇప్పటికే ఆమోదించబడినప్పటికీ సొరంగం ఇంకా పైకి రావడానికి నిరాకరించినప్పుడు వస్తాయి. ఒక చివర మాత్రమే ఫీచర్ ఉన్నప్పుడు ఇదే ఆశించిన ఫలితం: RFC 9329 ప్రకారం TCP ఎన్క్యాప్సులేషన్ రెండు చివరలలో అమలు చేయాలి మరియు కాన్ఫిగర్ చేయాలి, మరియు ఏ రక్షిత ట్రాఫిక్ కదలకముందే ఒప్పందం కనెక్షన్ లోపల జరుగుతుంది. పోర్ట్ తెరవడం ఉండకపోవచ్చు లిసనర్ను ప్రకటించడం, మరియు రెండో వైపు సరిపోలే కాన్ఫిగరేషన్ లేని లిసనర్ కనెక్షన్ను అంగీకరించి తర్వాత నిశ్శబ్దమవుతుంది. క్రింది క్రమం చవకైన తనిఖీలను మొదట ఉంచుతుంది.
ఎంపిక నిజంగా ఏమి జోడిస్తుందో తెలుసుకోండి
స్థానిక IPsec గుప్తీకరించిన పేలోడ్లను ఇలా తీసుకువెళుతుంది: IP ప్రోటోకాల్ 50, అనుమతించాల్సిన పోర్ట్ నంబర్ లేకుండా. NAT ట్రావర్సల్ ఆ ప్యాకెట్లను UDPలో చుట్టి పోర్ట్ 4500కు పంపుతుంది, అందుకే ఇన్ని ఫైర్వాల్ నియమాలు ఆ పోర్ట్ను ప్రస్తావిస్తాయి. RFC 9329 స్ట్రీమ్ ప్రాతినిధ్యాన్ని జోడిస్తుంది: IKE మరియు IPsec ప్యాకెట్లు రెండూ ఒకే TCP కనెక్షన్ లోపల, సాధారణంగా పోర్ట్ 4500కు ప్రయాణిస్తాయి.
స్ట్రీమ్ వెబ్ సేవ కాదు. 4500కు TCP కనెక్షన్ HTTP, TLS లేదా ప్రాక్సీ స్నేహపూర్వకత గురించి ఏమీ చెప్పదు, మరియు మార్గంలోని HTTP ప్రాక్సీ సాధారణంగా దానిని మోయడం బదులు ఫ్రేమింగ్ను విచ్ఛిన్నం చేస్తుంది.
ఫైర్వాల్ను తాకే ముందు ముందస్తు తనిఖీ
ప్రమాణం TCPను UDP మార్గాన్ని వదిలేసే నెట్వర్క్లకు బ్యాకప్గా ఉంచుతుంది, దానికి ప్రత్యామ్నాయంగా కాదు. ప్రతి విక్రేత నుండి రెండు వాస్తవాలను పొందండి: ఫీచర్ యొక్క ఖచ్చితమైన పేరు మరియు యాజమాన్య రూపాంతరం బదులు RFC 9329ను అమలు చేసే వెర్షన్. IPsec over TCP వంటి లేబుళ్లు సంబంధం లేని డిజైన్లకు ఉపయోగించబడ్డాయి, కాబట్టి పత్ర సూచన మరియు దానిని ఆన్ చేసే కాన్ఫిగరేషన్ కీని అడగండి. రెండు సమాధానాలు లేకుండా వైర్ అనుకూలత గురించి ఏమీ ఊహించవద్దు.
రెండు చివరలు మీవే అయిన ప్రయోగశాలలో దీనిని నిరూపించండి. TCP 4500కు సమాధానం ఇచ్చినా IKEను ఎప్పటికీ పూర్తి చేయని గేట్వే రెండో వైపు సరిపోలే ఎన్క్యాప్సులేషన్ లేని లిసనర్ సంకేతం, మరియు అక్కడ కనుగొనడం మార్పు విండో సమయంలో కనుగొనడం కంటే చాలా చవకైనది.
ప్రతిస్పందించే వైపు: ఏదైనా వినిపిస్తోందా
సాకెట్తో ప్రారంభించండి. ss -ltnp | grep 4500 TCP లిసనర్ ఉందో లేదో మరియు ఏ ప్రక్రియ దానిని కలిగి ఉందో చూపుతుంది. లైన్ లేకపోవడం దర్యాప్తును నెట్వర్క్లో కాకుండా గేట్వే కాన్ఫిగరేషన్లో ముగిస్తుంది.
సాకెట్ ఉంటే, క్లయింట్ వైపు నుండి ఊహించడం బదులు హ్యాండ్షేక్ను గమనించండి: tcpdump -ni any 'tcp port 4500'. పూర్తయిన త్రిముఖ హ్యాండ్షేక్ తర్వాత నిశ్శబ్దం అంటే స్ట్రీమ్ అంగీకరించబడింది మరియు దానిలోని IKE మార్పిడి విఫలమైంది, కానీ సమాధానం లేని SYN ఫిల్టరింగ్ లేదా తప్పు చిరునామాను సూచిస్తుంది.
రెండూ కలవకుండా అదే క్యాప్చర్ విండోలో UDP మార్గంతో పోల్చండి: tcpdump -ni any 'udp port 4500 or proto 50'. TCP ఉపయోగించబడుతోందని మీరు భావిస్తున్నప్పుడు ప్రోటోకాల్ 50 లేదా UDP పోర్ట్ 4500లో ట్రాఫిక్ ఉండటం అంటే రెండు చివరలు బ్యాకప్ గురించి ఎప్పుడూ అంగీకరించలేదు. వీలైతే గేట్వేలో కూడా క్యాప్చర్ చేయండి, ఎందుకంటే క్లయింట్ వైపు క్యాప్చర్ దూరపు చివర ఏమి పంపిందో చూపలేదు.
నాలుగు వేర్వేరు దశల్లో అంగీకరించండి
పైకి రావడాన్ని నాలుగు ఫలితాలుగా పరిగణించండి. ప్రతి ఒక్కటి వేరే కారణంతో విఫలం కావచ్చు, మరియు ఒకే పాస్ లేదా ఫెయిల్ ఏది అని దాచుతుంది, కాబట్టి విఫలమయ్యే మొదటి దశలో ఆగి మళ్లీ పైనుండి ప్రారంభించండి.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
నాలుగో దశే దాటవేయబడుతుంది. ఉన్న సెషన్ క్యాష్ చేసిన స్థితిలో పని కొనసాగించవచ్చు, కాబట్టి మార్పును మూసివేసే ముందు గేట్వే వెనుక ఉన్న హోస్ట్కు కొత్త కనెక్షన్ తెరవండి. రెండో దశ విఫలమై మొదటి దశ పాస్ అయితే, భిన్నాభిప్రాయం ప్రతిపాదనలో లేదా ఎన్క్యాప్సులేషన్ సెట్టింగ్లో ఉంది, ఫైర్వాల్లో కాదు.
రోల్బ్యాక్, మరియు దానిని ఆన్లో ఉంచడం ఖర్చు
మార్పుకు ముందు రద్దును ప్రణాళిక చేయండి: రెండు చివరలలో ఎన్క్యాప్సులేషన్ ఎంపికను ఆఫ్ చేసి సొరంగం UDP ద్వారా తిరిగి వస్తుందని నిర్ధారించండి. బ్యాకప్ మళ్లీ అవసరమైతే ఒక సమీక్ష చక్రానికి TCP నియమాన్ని ఉంచి తర్వాత తీసివేయండి. 4500లో ఉపయోగించని లిసనర్ ఎలాంటి కార్యాచరణ విలువ లేని ఉపరితలం.
నిజమైన పనిని మోయడం ప్రారంభించినప్పుడు పనితీరు సంకేతాన్ని గమనించండి. TCP లోపల TCP ఒకే నష్టం వద్ద ఆగిపోయే నిర్ధారణ పొరలను జోడిస్తుంది, మరియు ఒక కనెక్షన్ను పంచుకునే స్ట్రీమ్లు ఒకదానికొకటి అడ్డుకోవచ్చు, కాబట్టి ping బదులు సొరంగాన్ని ఉపయోగించే అప్లికేషన్ను కొలవండి.
అంగీకార జాబితా
రెండు చివరలలో ఫీచర్ పేరు మరియు వెర్షన్, ప్రతిస్పందించే వైపు లిసనర్, పూర్తి హ్యాండ్షేక్ను చూపే క్యాప్చర్, మరియు సమయ ముద్రలతో నమోదు చేసిన నాలుగు దశలను నిర్ధారించండి. తదుపరి ఇంజనీర్ TCP ఎందుకు ఉందో తెలియడానికి మార్పు రికార్డులో బ్యాకప్ కారణాన్ని జోడించండి. అవసరమయ్యే ముందు రోల్బ్యాక్ను సాధన చేయండి.
ఏదైనా దశ విఫలమైతే, ఆ దశను మాత్రమే సరిచేయండి. రవాణా సమస్యను వెంబడించడానికి సైఫర్ సూట్ లేదా గుర్తింపు సెట్టింగ్లను మార్చడం సాధారణంగా మొదటి దానిపై రెండో, సంబంధం లేని వైఫల్యాన్ని జోడిస్తుంది.