IKE sa ibabaw ng TCP 4500: suriin ang dalawang dulo bago ang tuntunin ng port
Ang TCP encapsulation ay pinag-uusapan ng dalawang dulo, hindi ibinibigay ng isang tuntunin ng firewall. Isagawa ang pagsusuri ng listener, ang pagkuha at ang apat na yugto ng pagtanggap nang sunod-sunod.
Ang mga tiket ng suporta ay madalas dumarating kapag ang pagbabago sa firewall ay aprubado na at ang tunnel ay ayaw pa ring bumangon. Ito ang inaasahang resulta kapag isang dulo lang ang may tampok: ang TCP encapsulation ayon sa RFC 9329 ay dapat ipatupad at i-configure sa dalawang dulo, at ang kasunduan ay nangyayari sa loob ng koneksyon bago gumalaw ang anumang protektadong trapiko. Ang pagbubukas ng port ay nag-aanunsyo ng listener na maaaring wala, at ang listener na walang katugmang configuration sa kabilang dulo ay tumatanggap ng koneksyon at pagkatapos ay tahimik. Inilalagay ng pagkakasunod-sunod sa ibaba ang mga murang pagsusuri muna.
Alamin kung ano talaga ang idinadagdag ng opsyon
Ang katutubong IPsec ay nagdadala ng mga naka-encrypt na payload bilang protokol IP 50, na walang numero ng port na kailangang payagan. Binabalot ng NAT traversal ang mga packet na iyon sa UDP patungo sa port 4500, at iyon ang dahilan kung bakit napakaraming tuntunin ng firewall ang nagbabanggit ng port na iyon. Nagdaragdag ang RFC 9329 ng representasyon ng stream: ang mga packet ng IKE at IPsec ay parehong naglalakbay sa loob ng isang koneksyon ng TCP, karaniwang patungo sa port 4500.
Ang stream ay hindi isang serbisyo sa web. Ang koneksyon ng TCP sa 4500 ay walang sinasabi tungkol sa HTTP, TLS o pagiging magiliw sa proxy, at ang proxy ng HTTP sa landas ay karaniwang sisirain ang pag-frame sa halip na dalhin ito.
Paunang pagsusuri bago hawakan ang firewall
Inilalagay ng pamantayan ang TCP bilang reserva para sa mga network na nagtatapon ng landas ng UDP, hindi bilang kapalit nito. Kumuha ng dalawang katotohanan mula sa bawat vendor: ang eksaktong pangalan ng tampok at ang bersyon na nagpapatupad ng RFC 9329 sa halip na isang pag-aaring variant. Ang mga label tulad ng IPsec over TCP ay ginamit para sa mga hindi kaugnay na disenyo, kaya hilingin ang sanggunian ng dokumento at ang susi ng configuration na nagbubukas nito. Kung wala ang dalawang sagot, huwag magpalagay ng anuman tungkol sa pagiging tugma sa kawad.
Patunayan ito sa isang laboratoryo kung saan ang dalawang dulo ay sa iyo. Ang gateway na tumutugon sa TCP 4500 ngunit hindi kailanman tinatapos ang IKE ay ang tanda ng isang listener na walang katugmang encapsulation sa kabilang dulo, at ang matuklasan iyon doon ay mas mura kaysa sa panahon ng isang window ng pagbabago.
Sa responder: may nakikinig ba
Magsimula sa socket. Ipinapakita ng ss -ltnp | grep 4500 kung may listener ng TCP at aling proseso ang may-ari nito. Ang kawalan ng isang linya ay nagtatapos sa pagsisiyasat sa configuration ng gateway at hindi sa network.
Kung naroon ang socket, panoorin ang handshake sa halip na hulaan mula sa panig ng kliyente: tcpdump -ni any 'tcp port 4500'. Ang natapos na three-way handshake na sinusundan ng katahimikan ay nangangahulugan na ang stream ay tinanggap at ang palitan ng IKE sa loob nito ay nabigo, samantalang ang SYN na walang sagot ay tumuturo sa pag-filter o sa maling address.
Ihambing sa landas ng UDP sa parehong window ng pagkuha upang hindi malito ang dalawa: tcpdump -ni any 'udp port 4500 or proto 50'. Ang trapiko sa protokol 50 o port ng UDP 4500 habang iniisip mong gumagamit ng TCP ay nangangahulugan na kailanman ay hindi nagkasundo ang dalawang dulo sa reserva. Kumuha rin sa gateway kung kaya, dahil ang pagkuha sa panig ng kliyente ay hindi maipapakita kung ano ang ipinadala ng malayong dulo.
Tanggapin sa apat na hiwalay na yugto
Ituring ang pagbangon bilang apat na resulta. Bawat isa ay maaaring mabigo sa ibang dahilan, at ang isang pumasa o nabigo ay nagtatago kung alin, kaya huminto sa unang yugtong nabigo at magsimulang muli mula sa itaas.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Ang ikaapat na yugto ang siyang nilalaktawan. Ang umiiral na sesyon ay maaaring magpatuloy sa naka-cache na estado, kaya magbukas ng bagong koneksyon sa host sa likod ng gateway bago isara ang pagbabago. Kung ang ikalawang yugto ay nabigo habang ang una ay pumasa, ang hindi pagkakasundo ay nasa panukala o sa setting ng encapsulation, hindi sa firewall.
Pag-rollback, at ang halaga ng pag-iiwan nito na nakabukas
Planuhin ang pag-undo bago ang pagbabago: patayin ang opsyon ng encapsulation sa dalawang dulo at kumpirmahin na ang tunnel ay bumabalik sa UDP. Panatilihin ang tuntunin ng TCP para sa isang siklo ng pagsusuri kung sakaling kailanganin muli ang reserva, pagkatapos ay alisin ito. Ang hindi ginagamit na listener sa 4500 ay isang ibabaw na walang anumang halaga sa operasyon.
Panoorin ang lagda ng pagganap kapag nagdala na ito ng tunay na trabaho. Ang TCP sa loob ng TCP ay nagdaragdag ng mga layer ng pagkilala na natigil sa isang pagkawala, at ang mga stream na nagbabahagi ng isang koneksyon ay maaaring magharang sa isa't isa, kaya sukatin ang aplikasyon na gagamit ng tunnel sa halip na isang ping.
Listahan ng pagtanggap
Kumpirmahin ang pangalan at bersyon ng tampok sa dalawang dulo, ang listener sa responder, ang pagkuha na nagpapakita ng natapos na handshake, at ang apat na yugto na naitala na may mga timestamp. Idagdag ang dahilan ng reserva sa rekord ng pagbabago upang malaman ng susunod na inhinyero kung bakit naroon ang TCP. Sanayin ang pag-rollback bago mo ito kailanganin.
Kung ang alinmang yugto ay nabigo, ayusin lamang ang yugtong iyon. Ang pagpapalit ng cipher suite o ng mga setting ng pagkakakilanlan upang habulin ang isang problema sa transportasyon ay karaniwang nagdaragdag ng pangalawa, walang kaugnayang pagkabigo sa ibabaw ng una.