TCP ustida IKE 4500: port qoidasidan oldin ikkala uchni tekshiring
TCP inkapsulyatsiyasi ikkala uch tomonidan kelishiladi, uni tarmoq devori qoidasi bermaydi. Tinglovchi tekshiruvi, yozib olish va to‘rtta qabul bosqichini tartib bilan bajaring.
Qo‘llab-quvvatlash murojaatlari ko‘pincha tarmoq devori o‘zgarishi allaqachon tasdiqlangan, tunnel esa hali ham ko‘tarilishdan bosh tortganda keladi. Bu xususiyat faqat bir uchda bo‘lganda kutilgan natijadir: RFC 9329 bo‘yicha TCP inkapsulyatsiyasi ikkala uchda ham joriy etilishi va sozlanishi kerak, kelishuv esa himoyalangan trafik harakatlanishidan oldin ulanish ichida bo‘ladi. Port ochish mavjud bo‘lmasligi mumkin bo‘lgan tinglovchini e’lon qiladi, ikkinchi tomonda mos sozlama bo‘lmagan tinglovchi ulanishni qabul qiladi va keyin jim qoladi. Quyidagi tartib arzon tekshiruvlarni birinchi o‘ringa qo‘yadi.
Variant aslida nima qo‘shishini biling
Mahalliy IPsec shifrlangan yuklarni shunday tashiydi: IP protokoli 50, ruxsat berilishi kerak bo‘lgan port raqamisiz. NAT traversal bu paketlarni UDP ichiga o‘rab 4500 portiga yuboradi, shuning uchun ham ko‘p tarmoq devori qoidalari o‘sha portni eslatadi. RFC 9329 oqim tasvirini qo‘shadi: IKE va IPsec paketlari ikkalasi ham bitta TCP ulanishi ichida, odatda 4500 portiga boradi.
Oqim veb-xizmat emas. 4500 ga TCP ulanishi HTTP, TLS yoki proksiga do‘stlik haqida hech narsa demaydi, yo‘ldagi HTTP proksi esa uni olib o‘tish o‘rniga ramkalashni buzadi.
Tarmoq devoriga tegishdan oldin dastlabki tekshiruv
Standart TCP ni UDP yo‘lini tashlab yuboradigan tarmoqlar uchun zaxira sifatida qo‘yadi, uning o‘rnini bosuvchi sifatida emas. Har bir yetkazib beruvchidan ikki fakt oling: xususiyatning aniq nomi va mulkiy variant o‘rniga RFC 9329 ni joriy etuvchi versiya. IPsec over TCP kabi belgilar aloqasiz dizaynlar uchun ishlatilgan, shuning uchun hujjat havolasini va uni yoqadigan sozlama kalitini so‘rang. Ikkala javobsiz simdagi muvofiqlik haqida hech narsa deb o‘ylamang.
Buni ikkala uchi ham sizniki bo‘lgan laboratoriyada isbotlang. TCP 4500 ga javob beradigan, ammo IKE ni hech qachon tugatmaydigan shlyuz ikkinchi tomonda mos inkapsulyatsiya bo‘lmagan tinglovchining belgisidir va buni o‘sha yerda topish o‘zgarish oynasi paytida topishdan ancha arzon.
Javob beruvchi tomonda: biror narsa eshityaptimi
Soketdan boshlang. ss -ltnp | grep 4500 TCP tinglovchisi bor-yo‘qligini va qaysi jarayon unga egalik qilishini ko‘rsatadi. Qatorning yo‘qligi tekshiruvni tarmoqda emas, shlyuz sozlamasida tugatadi.
Agar soket mavjud bo‘lsa, mijoz tomondan taxmin qilish o‘rniga qo‘l berib ko‘rishishni kuzating: tcpdump -ni any 'tcp port 4500'. Tugallangan uch tomonlama qo‘l berib ko‘rishishdan keyingi sukunat oqim qabul qilinganini va uning ichidagi IKE almashinuvi muvaffaqiyatsiz bo‘lganini bildiradi, javobsiz SYN esa filtrlash yoki noto‘g‘ri manzilga ishora qiladi.
Ikkisi chalkashmasligi uchun o‘sha yozib olish oynasida UDP yo‘li bilan solishtiring: tcpdump -ni any 'udp port 4500 or proto 50'. TCP ishlatilmoqda deb o‘ylagan paytingizda 50 protokolida yoki UDP 4500 portida trafik bo‘lishi ikki uch zaxira bo‘yicha hech qachon kelishmaganini bildiradi. Iloji bo‘lsa shlyuzda ham yozib oling, chunki mijoz tomonidagi yozib olish uzoq uch nima yuborganini ko‘rsata olmaydi.
To‘rtta alohida bosqichda qabul qiling
Ko‘tarilishni to‘rtta natija deb qarang. Har biri boshqa sabab bilan muvaffaqiyatsiz bo‘lishi mumkin va bitta o‘tish yoki muvaffaqiyatsizlik qaysi biri bo‘lganini yashiradi, shuning uchun birinchi muvaffaqiyatsiz bosqichda to‘xtang va yana boshidan boshlang.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
To‘rtinchi bosqich o‘tkazib yuboriladigan bosqichdir. Mavjud sessiya keshlangan holatda ishlashda davom etishi mumkin, shuning uchun o‘zgarishni yopishdan oldin shlyuz orqasidagi xostga yangi ulanish oching. Agar ikkinchi bosqich muvaffaqiyatsiz bo‘lib, birinchisi o‘tsa, kelishmovchilik taklifda yoki inkapsulyatsiya sozlamasida, tarmoq devorida emas.
Orqaga qaytarish va uni yoniq qoldirish narxi
O‘zgarishdan oldin bekor qilishni rejalashtiring: inkapsulyatsiya variantini ikkala uchda o‘chiring va tunnel UDP orqali qaytishini tasdiqlang. Zaxira yana kerak bo‘lsa, TCP qoidasini bir ko‘rib chiqish sikliga qoldiring, keyin uni olib tashlang. 4500 dagi foydalanilmagan tinglovchi operatsion qiymati bo‘lmagan yuzadir.
U haqiqiy ish tashiy boshlaganda unumdorlik belgisini kuzating. TCP ichidagi TCP bitta yo‘qotishda to‘xtab qoladigan tasdiqlash qatlamlarini qo‘shadi va bitta ulanishni bo‘lishadigan oqimlar bir-birini to‘sishi mumkin, shuning uchun ping emas, tunneldan foydalanadigan dasturni o‘lchang.
Qabul ro‘yxati
Ikkala uchda xususiyatning nomi va versiyasini, javob beruvchi tomondagi tinglovchini, tugallangan qo‘l berib ko‘rishishni ko‘rsatuvchi yozib olishni va vaqt belgilari bilan qayd etilgan to‘rtta bosqichni tasdiqlang. Keyingi muhandis TCP nima uchun borligini bilishi uchun o‘zgarish yozuviga zaxira sababini qo‘shing. Kerak bo‘lishidan oldin orqaga qaytarishni mashq qiling.
Agar biron bosqich muvaffaqiyatsiz bo‘lsa, faqat o‘sha bosqichni tuzating. Transport muammosi ortidan quvish uchun shifr to‘plamini yoki identifikatsiya sozlamalarini o‘zgartirish odatda birinchisining ustiga ikkinchi, aloqasiz muvaffaqiyatsizlikni qo‘shadi.