TCP üzerinden IKE 4500: port kuralından önce iki ucu da denetleyin
TCP kapsüllemesi iki uç tarafından müzakere edilir, bir güvenlik duvarı kuralı tarafından verilmez. Dinleyici denetimini, yakalamayı ve dört kabul aşamasını sırayla yürütün.
Destek kayıtları çoğu zaman güvenlik duvarı değişikliği çoktan onaylanmışken ve tünel hâlâ kalkmayı reddederken gelir. Özellik yalnızca bir uçta olduğunda beklenen sonuç budur: RFC 9329'a göre TCP kapsüllemesi iki uçta da uygulanmalı ve yapılandırılmalıdır ve anlaşma, korumalı trafik hareket etmeden önce bağlantının içinde gerçekleşir. Bir port açmak, var olmayabilecek bir dinleyiciyi duyurur ve diğer tarafta eşleşen yapılandırması olmayan bir dinleyici bağlantıyı kabul eder ve sonra susar. Aşağıdaki sıra ucuz denetimleri öne alır.
Seçeneğin gerçekte ne eklediğini bilin
Yerel IPsec şifrelenmiş yükleri şöyle taşır: IP protokolü 50, izin verilmesi gereken bir port numarası olmadan. NAT geçişi bu paketleri UDP içine sarıp 4500 portuna gönderir, bu yüzden bu kadar çok güvenlik duvarı kuralı o porttan söz eder. RFC 9329 bir akış gösterimi ekler: IKE ve IPsec paketleri ikisi de tek bir TCP bağlantısı içinde, genellikle 4500 portuna gider.
Akış bir web hizmeti değildir. 4500'e TCP bağlantısı HTTP, TLS veya vekil sunucu dostluğu hakkında hiçbir şey söylemez ve yoldaki bir HTTP vekili genellikle çerçevelemeyi taşımak yerine bozar.
Güvenlik duvarına dokunmadan önce ön denetim
Standart, TCP'yi UDP yolunu düşüren ağlar için yedek olarak konumlandırır, onun yerine geçen bir çözüm olarak değil. Her satıcıdan iki gerçek alın: özelliğin tam adı ve tescilli bir varyant yerine RFC 9329'u uygulayan sürüm. IPsec over TCP gibi etiketler ilgisiz tasarımlar için kullanılmıştır, bu yüzden belge referansını ve onu açan yapılandırma anahtarını isteyin. İki yanıt da yoksa kablodaki uyumluluk hakkında hiçbir şey varsaymayın.
Bunu iki ucun da sizin olduğu bir laboratuvarda kanıtlayın. TCP 4500'e yanıt veren ama IKE'yi asla tamamlamayan bir geçit, diğer tarafta eşleşen kapsülleme olmayan bir dinleyicinin imzasıdır ve bunu orada keşfetmek bir değişiklik penceresi sırasında keşfetmekten çok daha ucuzdur.
Yanıtlayıcı tarafında: bir şey dinliyor mu
Soketle başlayın. ss -ltnp | grep 4500 bir TCP dinleyicisi olup olmadığını ve hangi sürecin ona sahip olduğunu gösterir. Bir satırın yokluğu soruşturmayı ağda değil, geçit yapılandırmasında bitirir.
Soket oradaysa, istemci tarafından tahmin etmek yerine el sıkışmayı izleyin: tcpdump -ni any 'tcp port 4500'. Tamamlanmış üç yönlü el sıkışmanın ardından sessizlik, akışın kabul edildiği ve içindeki IKE alışverişinin başarısız olduğu anlamına gelir; yanıtsız bir SYN ise filtrelemeye veya yanlış adrese işaret eder.
İkisi karışmasın diye aynı yakalama penceresinde UDP yoluyla karşılaştırın: tcpdump -ni any 'udp port 4500 or proto 50'. TCP kullanıldığına inandığınız sırada protokol 50 veya UDP 4500 portunda trafik olması, uçların yedek konusunda hiç anlaşmadığı anlamına gelir. Mümkünse geçitte de yakalayın, çünkü istemci tarafındaki yakalama uzak ucun ne gönderdiğini gösteremez.
Dört ayrı aşamada kabul edin
Kalkışı dört sonuç olarak ele alın. Her biri farklı bir nedenle başarısız olabilir ve tek bir geçti veya kaldı hangisinin olduğunu gizler, bu yüzden başarısız olan ilk aşamada durun ve baştan yeniden başlayın.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Dördüncü aşama atlanan aşamadır. Mevcut bir oturum önbelleğe alınmış durumda çalışmaya devam edebilir, bu yüzden değişikliği kapatmadan önce geçidin arkasındaki bir konağa yeni bir bağlantı açın. İkinci aşama başarısız olup birinci aşama geçerse, anlaşmazlık teklifte veya kapsülleme ayarındadır, güvenlik duvarında değil.
Geri alma ve bunu açık bırakmanın maliyeti
Değişiklikten önce geri almayı planlayın: kapsülleme seçeneğini iki uçta kapatın ve tünelin UDP üzerinden geri döndüğünü doğrulayın. Yedek yeniden gerekirse bir inceleme döngüsü için TCP kuralını tutun, sonra kaldırın. 4500 üzerinde kullanılmayan bir dinleyici, işletme değeri olmayan bir saldırı yüzeyidir.
Gerçek iş taşımaya başladığında performans imzasını izleyin. TCP içinde TCP, tek bir kayıpta takılan onay katmanları ekler ve bir bağlantıyı paylaşan akışlar birbirini bloke edebilir, bu yüzden ping yerine tüneli kullanacak uygulamayı ölçün.
Kabul listesi
İki uçta özelliğin adını ve sürümünü, yanıtlayıcı tarafındaki dinleyiciyi, tamamlanmış el sıkışmayı gösteren yakalamayı ve zaman damgalarıyla kaydedilmiş dört aşamayı doğrulayın. Bir sonraki mühendisin TCP'nin neden orada olduğunu bilmesi için değişiklik kaydına yedeğin nedenini ekleyin. Gerekmeden önce geri almayı prova edin.
Herhangi bir aşama başarısız olursa yalnızca o aşamayı düzeltin. Taşıma sorununu kovalamak için şifreleme takımını veya kimlik ayarlarını değiştirmek genellikle birincinin üzerine ikinci, ilgisiz bir başarısızlık ekler.