IKEv2 UDP 500 va 4500 dan foydalanadi: qaysi biri ma'lumotni tashiydi?

Firewall'da UDP 500 ni ochish tunnelga muzokara qilish imkonini beradi, so'ngra ulanish trafikni o'tkazishni to'xtatadi. Portlar ro'yxati to'liq emas edi, xato emas. IKEv2 bitta soketda boshlanadi va ko'plab real joylashtirishlarda boshqasida davom etadi, foydali yuk esa umuman port bo'lmasligi mumkin. Bosqichlarni tartib bilan o'qish qaysi qoida yetishmayotganini tushuntiradi.

Ikki port, ikki vazifa

IKEv2 UDP 500 bo'yicha kalit almashinuvidan boshlanadi, u yerda tomonlar o'zlarini autentifikatsiya qiladi va tunnel uchun xavfsizlik assotsiatsiyasini o'rnatadi. Keyingi ma'lumot yo'li alohida masala: u port emas, IP protokol raqami bo'lgan mahalliy ESP yoki 4500 da UDP ichiga o'ralgan trafik bo'lishi mumkin. Bularni firewall ko'rigida ajratish muzokara qiluvchi tunnel bilan ishlaydigan tunnel o'rtasidagi farqdir. Bitta soket boshqaruvni, ikkinchisi yukni tashiydi.

Shuning uchun faqat 500 ga ruxsat beruvchi qoida butun protokol oilasidagi eng chalkash alomatni keltirib chiqaradi: muzokara muvaffaqiyatli bo'ladi va foydali hech narsa kelmaydi. Holat tengdoshni ko'rsatadi, jurnal o'rnatilgan IKE SA ni ko'rsatadi, dastur esa baribir vaqt tugaydi. Yetishmayotgan ruxsat hozirgina muvaffaqiyatli bo'lgan oqimdan boshqa oqimga tegishli.

4500 nega umuman mavjud

Ko'plab NAT qurilmalari TCP yoki UDP dan boshqa protokolni uzata olmaydi, ba'zilari manzillarni ESP ning yaxlitlik tekshiruvini buzadigan tarzda qayta yozadi. ESP ni UDP ichiga o'rash ikkala muammoni ham hal qiladi, ammo qo'shimcha sarlavha va ruxsat berilishi kerak bo'lgan ikkinchi port hisobiga. Aynan shu o'rash ikkinchi portning mavjudligi sababidir.

NAT aniqlangach, IKE ning o'zi ham 4500 ga o'tadi, shunda barcha trafik tarjimon orqali bitta yo'lni bo'lishadi. ESP bo'lmagan to'rt baytlik belgi o'sha soketda boshqaruv xabarlarini ma'lumotdan ajratadi. Bu o'tish protokol qarori, administrator xohishi emas.

Manba port qayerda o'zgaradi

Tarjimon mijozning manba portini qayta yozishi mumkin, shuning uchun serverda ko'rinadigan tuple mijozdagi tuple bilan mos kelmaydi. Qoida e'tiborsiz qoldirilmoqda degan xulosaga kelishdan oldin har bir NAT sakrashining ikkala tomoniga qarang. Faqat mijozda muammo izlash to'g'ri ko'rinadigan, ammo baribir muvaffaqiyatsiz bo'ladigan qoida berishi mumkin.

MOBIKE qo'llab-quvvatlaydigan ilovalar NAT aniqlanmasa ham 4500 ga o'tishi mumkin, ba'zi joylashtirishlar bu yo'lni ataylab majburlaydi. Shuning uchun 4500 ni ko'rish qarorning dalili, uy routerining isboti emas.

Har chegarada ikkala oqimni tekshiring

Uch chegaradan o'ting: mijoz tarmog'i, har qanday oraliq firewall va server. Har biriga joylashtirish hujjatlashtirgan oqimlar kerak, boshqa holat haqidagi maqoladagi oqimlar emas.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Firewall ro'yxatidagi ESP qatori protokol mosligi, shuning uchun port qoidasi uni hech qachon qamramaydi. Agar operator moslashtirilgan portdan foydalansa, ikkala uchida hujjatlashtirilgan konfiguratsiyaga amal qiling, chunki mijoz tanish raqamni tanlab serverda tinglovchi yarata olmaydi.

Muzokara qayerda to'xtaganini va bola xavfsizlik assotsiatsiyasi o'rnatilganini yozib qo'ying, chunki bu juftlik to'silgan yo'lni autentifikatsiya yoki siyosat xatosidan ajratadi. So'ngra server tekshiruvini yoqib sinovni takrorlang, chunki yetib borish autentifikatsiya emas. O'sha oxirgi qadam ruxsat etilgan portni ishonchli tengdoshdan ajratadi.