Protocol 47 laban sa TCP port 47: dalawang header, dalawang panuntunan

Ang mga network ng hotel at firewall ng kumperensya ay madalas nagpapakita ng pasadyang kahon ng pahintulot, at may nagta-type ng 47 dito sa pag-asang gagana ang PPTP. Nalilikha ang panuntunan, nabibigo pa rin ang tunnel, at gumagamit ang susunod na pagtatangka ng ibang numero. Nasa mismong packet ang pagkakamali: may field ng protocol ang IPv4 na nagpangalan sa kasunod ng header ng IP, samantalang may field ng port ang TCP at UDP na umiiral lamang kapag nasa loob ka ng isa sa mga header na iyon. Hindi ito dalawang baybay ng iisang pahintulot.

Pinapangalanan ng IPv4 header ang susunod na protocol

Ang field ng protocol ay isang byte sa IPv4 header, at may hawak itong numero na naglalarawan sa payload: 6 para sa TCP, 17 para sa UDP, 47 para sa GRE, 50 para sa ESP. Lahat ng nagsasala ng packet ay nagbabasa ng halagang iyon bago tumingin nang mas malalim, dahil may saysay lamang ang mas malalim na header kapag alam na ang uri. Palitan ang isang port mamaya sa usapan, at hindi gumalaw ang field na ito.

Kaya ang panuntunang isinulat laban sa protocol 47 ay naglalarawan sa lebel ng IP. Walang port na sumasali sa desisyon.

Umiiral ang port sa loob ng TCP at UDP, wala sa ibang lugar

Ang port ay labing-anim na bit na identifier sa loob ng header ng TCP at UDP, at ang tungkulin nito ay paghiwalayin ang mga usapang nagbabahagi ng isang address. May bitbit na halaga ng uri ng protocol ang GRE header, madalas isang EtherType, kasama ang opsyonal na susi para sa multiplexing. Kaya ang pariralang port 47 ay hindi nagpangalan ng anumang maaaring itugma ng GRE packet.

Nagkakaiba ang mga interface ng firewall sa kung gaano nito ipinapakita. May tumatanggap ng numero ng protocol, may nag-aalok ng listahang may pangalan, at kakaunti lang ang tumatanggap ng TCP o UDP lamang na may port.

Ginagamit ng PPTP ang dalawang lebel nang sabay

Ang PPTP ang pinakamalinaw na halimbawa dahil sadyang hinahati nito ang trabaho sa dalawang lebel. Ang koneksyon ng kontrol ay session ng TCP papunta sa port 1723, at ang daan ng datos ay GRE, protocol 47, na walang port na nasasangkot kahit saan. Ang firewall na nagpapahintulot ng 1723 at wala nang iba ay hinahayaang magsimula ang negosasyon at pagkatapos ay itinatapon ang payload. Mukhang nakabitin ang tunnel pagkatapos ng authentication sa halip na mabigong kumonekta, at iyon ang dahilan kung bakit madalas ireport ang sintomas bilang problema sa password.

Basahin ang dalawang hilera nang hiwalay kapag isinusulat ang panuntunan, at suriin ang bawat isa laban sa sintaks ng vendor. Kailangan ng isang hilera ng port, kailangan ng isa pa ng numero ng protocol, at walang isang entry na sumasakop sa dalawa.

Bakit hindi kayang ipahayag ng pahina ng port forwarding ang GRE

Ang form ng forwarding na tumatanggap lamang ng TCP at UDP ay hindi kayang ilarawan ang GRE, anuman ang pangalan ng form. Nagdaragdag ng pangalawang kahirapan ang pagsasalin ng address, dahil walang port ang GRE at kailangang sundan ng tagasalin ang identifier ng tawag sa halip. May mga consumer router na may kasamang helper na humahawak nito; marami ang wala, at walang karagdagang entry ng pahintulot na TCP ang lilikha ng ganoong pag-uugali.

Kung modernong tunnel ang tunay na pangangailangan, pumili ng disenyong sadyang gumagamit ng TCP o UDP sa halip na umasa na mahuhulaan nang tama ng tagasalin.

Ang encapsulation ang nagtatakda kung ano ang nakikita ng filter

Binabago ng encapsulation ang panlabas na packet, at ang panlabas na packet ang itinutugma ng panuntunan. Ang native ESP ay protocol 50, samantalang binabalot ng NAT traversal ang ESP sa loob ng UDP 4500 upang makaligtas sa pagsasalin ng address. Ang filter na nagpapahintulot ng UDP 4500 ay hindi kailanman nakakakita ng protocol 50, at ang filter na isinulat para sa protocol 50 ay hindi kailanman tumutugma sa nakabalot na anyo.

Itanong kung aling encapsulation ang napagkasunduan ng client at gateway, pagkatapos ay isulat ang panuntunan para sa panlabas na anyo na iyon lamang at wala nang iba.

Isulat ang panuntunan upang may makapag-verify nito

Ipahayag ang bawat panuntunan bilang pamilya ng address, panlabas na protocol, port ng transportasyon kung mayroon, direksyon at parehong dulo. Maaaring ihambing ng reviewer ang pangungusap na iyon sa isang packet capture at makarating sa hatol. Ang tagubiling buksan ang 47 ay walang makapag-verify, at ganoon ang dahilan kung bakit tumatagal ito nang maraming taon sa mga manwal ng pamamaraan.

Idagdag ang pagsubok na nagpapatunay niyan: kumonekta habang nagco-capture sa panlabas na interface, at kumpirmahin ang panlabas na protocol at port na talagang lumilitaw sa bakas.