IKEv2 UDP 500 మరియు 4500 ఉపయోగిస్తుంది: డేటాను ఏ పోర్ట్ మోసుకెళ్తుంది?

ఫైర్వాల్లో UDP 500 తెరిస్తే సొరంగం చర్చలు జరపగలదు, ఆ తర్వాత కనెక్షన్ ట్రాఫిక్ పంపడం ఆపేస్తుంది. పోర్ట్ జాబితా అసంపూర్ణంగా ఉంది, తప్పు కాదు. IKEv2 ఒక సాకెట్లో ప్రారంభమై చాలా వాస్తవ అమలులలో మరొక దానిలో కొనసాగుతుంది, అయితే పేలోడ్ పోర్ట్ కూడా కాకపోవచ్చు. దశలను క్రమంగా చదవడం ఏ నియమం లేదో వివరిస్తుంది.

రెండు పోర్టులు, రెండు పనులు

IKEv2 UDP 500 పై కీ మార్పిడితో ప్రారంభమవుతుంది, అక్కడ రెండు వైపులా తమను తాము ధృవీకరించుకుని సొరంగానికి భద్రతా సంఘాన్ని ఏర్పాటు చేసుకుంటాయి. తర్వాతి డేటా మార్గం వేరే విషయం: అది పోర్ట్ కాని IP ప్రోటోకాల్ నంబర్ అయిన స్థానిక ESP కావచ్చు, లేదా 4500 పై UDP లోపల చుట్టబడిన ట్రాఫిక్ కావచ్చు. ఫైర్వాల్ సమీక్షలో వీటిని వేరుగా ఉంచడమే చర్చలు జరిపే సొరంగానికి, పనిచేసే సొరంగానికి మధ్య తేడా. ఒక సాకెట్ నియంత్రణను, మరొకటి పేలోడ్ను మోసుకెళ్తుంది.

అందుకే 500కు మాత్రమే అనుమతి ఇచ్చే నియమం మొత్తం ప్రోటోకాల్ కుటుంబంలో అత్యంత గందరగోళకరమైన లక్షణాన్ని కలిగిస్తుంది: చర్చలు విజయవంతమవుతాయి, ఉపయోగకరమైనది ఏదీ రాదు. స్థితి ఒక సహచరుడిని చూపిస్తుంది, లాగ్ ఏర్పాటైన IKE SA ను చూపిస్తుంది, అయినా అప్లికేషన్ సమయం మించిపోతుంది. లేని అనుమతి ఇప్పుడే విజయవంతమైన ప్రవాహం కంటే వేరే ప్రవాహానికి చెందుతుంది.

4500 ఎందుకు ఉంది

చాలా NAT పరికరాలు TCP లేదా UDP కాకుండా ఇతర ప్రోటోకాల్ను పంపలేవు, కొన్ని చిరునామాలను ESP యొక్క సమగ్రతా తనిఖీని బద్దలు కొట్టే విధంగా తిరిగి రాస్తాయి. ESP ను UDP లోపల చుట్టడం రెండు సమస్యలను పరిష్కరిస్తుంది, కానీ అదనపు హెడర్ మరియు అనుమతించవలసిన రెండవ పోర్ట్ ఖర్చుతో. ఆ చుట్టడమే రెండవ పోర్ట్ ఉండటానికి కారణం.

NAT గుర్తించబడిన తర్వాత IKE కూడా 4500కు మారుతుంది, తద్వారా మొత్తం ట్రాఫిక్ అనువాదకం ద్వారా ఒకే మార్గాన్ని పంచుకుంటుంది. ESP కాని నాలుగు బైట్ల గుర్తు ఆ సాకెట్లో నియంత్రణ సందేశాలను డేటా నుండి వేరుచేస్తుంది. ఈ మార్పు ప్రోటోకాల్ నిర్ణయం, నిర్వాహకుడి ఇష్టం కాదు.

మూల పోర్ట్ ఎక్కడ మారుతుంది

అనువాదకం క్లయింట్ మూల పోర్ట్ను తిరిగి రాయవచ్చు, కాబట్టి సర్వర్లో కనిపించే ట్యూపుల్ క్లయింట్లోని ట్యూపుల్తో సరిపోలదు. ఒక నియమం విస్మరించబడుతోందని నిర్ణయించే ముందు ప్రతి NAT దూకుడు రెండు వైపులా చూడండి. క్లయింట్లో మాత్రమే సమస్యను వెతకడం సరిగ్గా కనిపించే కానీ విఫలమయ్యే నియమాన్ని ఇవ్వవచ్చు.

MOBIKE మద్దతు ఉన్న అమలులు NAT గుర్తించకుండానే 4500కు మారవచ్చు, కొన్ని అమలులు ఆ మార్గాన్ని ఉద్దేశపూర్వకంగా బలవంతం చేస్తాయి. అందుకే 4500 చూడటం నిర్ణయానికి సాక్ష్యం, ఇంటి రౌటర్కు రుజువు కాదు.

ప్రతి సరిహద్దులో రెండు ప్రవాహాలను తనిఖీ చేయండి

మూడు సరిహద్దులను దాటండి: క్లయింట్ నెట్వర్క్, ఏదైనా మధ్యస్థ ఫైర్వాల్, మరియు సర్వర్. ప్రతి ఒక్కటి అమలు పత్రీకరించిన ప్రవాహాలను కోరుతుంది, మరో సందర్భం గురించిన వ్యాసం ప్రవాహాలను కాదు.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

ఫైర్వాల్ జాబితాలో ESP పంక్తి ప్రోటోకాల్ సరిపోలిక, కాబట్టి పోర్ట్ నియమం దాన్ని ఎప్పటికీ కవర్ చేయదు. నిర్వాహకుడు అనుకూల పోర్ట్ను ఉపయోగిస్తే, రెండు చివరల్లో పత్రీకరించిన కాన్ఫిగరేషన్ను అనుసరించండి, ఎందుకంటే క్లయింట్ తెలిసిన నంబర్ను ఎంచుకుని సర్వర్లో శ్రోతను సృష్టించలేదు.

చర్చలు ఎక్కడ ఆగాయి మరియు చైల్డ్ భద్రతా సంఘం ఇన్స్టాల్ అయిందా అని నమోదు చేయండి, ఎందుకంటే ఆ జోడీ నిరోధించిన మార్గాన్ని ధృవీకరణ లేదా విధాన లోపం నుండి వేరుచేస్తుంది. తర్వాత సర్వర్ ధృవీకరణ ప్రారంభించి పరీక్షను పునరావృతం చేయండి, ఎందుకంటే చేరడం ధృవీకరణ కాదు. ఆ చివరి దశ అనుమతించిన పోర్ట్ను విశ్వసనీయ సహచరుడి నుండి వేరుచేస్తుంది.