IKEv2 UDP 500 ve 4500 kullanır: hangisi veriyi taşır?

Güvenlik duvarında UDP 500'ü açmak tünelin pazarlık yapmasını sağlar, ardından bağlantı trafik geçirmeyi bırakır. Bağlantı noktası listesi eksikti, yanlış değildi. IKEv2 bir sokette başlar ve birçok gerçek kurulumda başka bir sokette devam eder, oysa yük hiç de bağlantı noktası olmayabilir. Aşamaları sırayla okumak hangi kuralın eksik olduğunu açıklar.

İki bağlantı noktası, iki iş

IKEv2, UDP 500 üzerinde anahtar değiş tokuşuyla başlar; burada taraflar kimlik doğrular ve tünel için bir güvenlik ilişkisi kurar. Ardından gelen veri yolu ayrı bir konudur: bağlantı noktası değil IP protokol numarası olan yerel ESP ya da 4500 üzerinde UDP içine sarılmış trafik olabilir. Bu ikisini güvenlik duvarı incelemesinde ayırmak, pazarlık yapan tünel ile çalışan tünel arasındaki farktır. Bir soket denetimi, diğeri yükü taşır.

Bu yüzden yalnızca 500'e izin veren bir kural, tüm protokol ailesindeki en kafa karıştırıcı belirtiyi üretir: pazarlık başarılı olur ve işe yarar hiçbir şey gelmez. Durum bir eşi gösterir, günlük kurulmuş bir IKE SA gösterir ve uygulama yine de zaman aşımına uğrar. Eksik izin, az önce başarılı olan akıştan farklı bir akışa aittir.

4500 neden var

Birçok NAT cihazı TCP ya da UDP dışında bir protokolü iletemez ve bazıları adresleri ESP'nin bütünlük denetimini bozacak şekilde yeniden yazar. ESP'yi UDP içine sarmak iki sorunu da çözer, karşılığında ek bir başlık ve izin verilmesi gereken ikinci bir bağlantı noktası gerekir. İkinci bağlantı noktasının var olma nedeni tam olarak bu sarmadır.

NAT algılandığında IKE'nin kendisi de 4500'e geçer, böylece tüm trafik çeviriciden geçen tek bir yolu paylaşır. ESP olmayan dört baytlık bir işaret o sokette denetim iletilerini veriden ayırır. Bu geçiş bir protokol kararıdır, yönetici tercihi değildir.

Kaynak bağlantı noktası nerede değişir

Çevirici istemcinin kaynak bağlantı noktasını yeniden yazabilir, bu yüzden sunucuda görülen demet istemcideki demetle eşleşmez. Bir kuralın yok sayıldığı sonucuna varmadan önce her NAT atlamasının iki tarafına bakın. Yalnızca istemcide sorun aramak doğru görünen ama yine de başarısız olan bir kural üretebilir.

MOBIKE destekli uygulamalar NAT algılanmadan da 4500'e geçebilir ve bazı kurulumlar bu yolu bilinçli olarak zorlar. Bu yüzden 4500 görmek bir kararın kanıtıdır, ev yönlendiricisinin kanıtı değildir.

Her sınırda iki akışı da denetleyin

Üç sınırı geçin: istemci ağı, aradaki herhangi bir güvenlik duvarı ve sunucu. Her biri kurulumun belgelediği akışlara ihtiyaç duyar, başka bir durumla ilgili makalenin akışlarına değil.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Güvenlik duvarı listesindeki ESP satırı bir protokol eşleşmesidir, bu yüzden bir bağlantı noktası kuralı onu asla kapsamaz. İşletmeci özel bir bağlantı noktası kullanıyorsa iki uçta da belgelenen yapılandırmayı izleyin, çünkü istemci tanıdık bir numara seçerek sunucuda dinleyici oluşturamaz.

Pazarlığın nerede durduğunu ve alt güvenlik ilişkisinin kurulup kurulmadığını kaydedin, çünkü bu çift engellenen yolu kimlik doğrulama veya ilke hatasından ayırır. Ardından sunucu doğrulaması açıkken testi yineleyin, çünkü erişilebilirlik kimlik doğrulama değildir. O son adım izin verilen bağlantı noktasını güvenilir eşten ayırır.