Nima uchun L2TP/IPsec IPsec bilan birga UDP 1701 ga muhtoj

IKE va ESP ga ruxsat berib, UDP 1701 ga ruxsat bermaydigan xavfsizlik devorlari L2TP ulanishlarini hisob ma'lumotlari muammosiga o'xshab ko'rinadigan tarzda buzadi. Sabab shundaki, L2TP birinchisining ichida harakatlanadigan ikkinchi protokoldir. IPsec almashinuvni tashiydi va tasdiqlaydi, L2TP esa UDP 1701 ustida o'z tunnelini yuritadi, uni mahalliy stek baribir yetkazishi kerak. Har bir sarlavha qayerda paydo bo'lishini bilish qaysi qurilmaga qaysi qoida kerakligini tushuntiradi.

Ikki protokol, ikki port to'plami

L2TP/IPsec ulanishi UDP 500 da IKE, tarjima mavjud joyda UDP 4500 da NAT o'tishini va mavjud bo'lmagan joyda IP protokoli 50 sifatida ESP ishlatadi. L2TP ning o'zi UDP 1701 dagi tunnel protokoli bo'lib, IPsec sherikni tasdiqlaganidan keyin ishlaydi. Ikki yarmi turlicha ishdan chiqadi va ular haqida xabar beruvchi jurnal satrlari turli komponentlardan keladi. Faqat birinchi yarmini qamrab olgan qoidalar to'plami muzokara qilib, keyin tunnel bosqichida o'ladigan ulanish hosil qiladi.

Port raqamlari transport oxirgi nuqtalarini tavsiflaydi, ESP esa umuman port emas. Shuning uchun faqat TCP va UDP qoidalarini taklif qiladigan xavfsizlik devori interfeysi to'liq IPsec siyosatini ifodalay olmaydi. 50-protokolga protokol sifatida ruxsat berilishi kerak va faqat UDP ni eslatuvchi qoida u bilan hech qachon mos kelmaydi.

Qobiq portni tushuntiradi

Tarmoqda L2TP/IPsec ulanishi odatda 500 da IKE va 4500 da o'ralgan ESP ni ko'rsatadi. UDP 1701 sarlavhasi himoyalangan yuk ichida joylashgan, shuning uchun tashqi interfeysdagi tutish uni ko'rsatmaydi. Mahalliy xost o'sha datagramni L2TP demoniga baribir yetkazishi kerak va yetkazish dekapsulyatsiyadan keyin sodir bo'ladi. Shu sababli 1701 qoidasi oxirgi nuqtaning o'z xavfsizlik devoriga tegishli, hatto hech bir oraliq qurilma bu portni hech qachon ko'rmasa ham.

Qayta ishlash tartibi chalkashlikning katta qismini tushuntiradi. Agar stek IPsec siyosatini xost filtridan oldin qo'llasa, dekapsulyatsiya qilingan L2TP paketi UDP 1701 sifatida moslashtiriladi; agar tartib teskari bo'lsa, qoidalar to'plami tashqi portlarni ko'radi. Ikkala xatti-harakat ham amalda mavjud, shuning uchun bir xil qoidalar to'plami bir platformada ishlaydi, boshqasida esa ishdan chiqadi.

Yo'lni tartib bilan tekshiring

Avval tashqi interfeysda tutish qiling va IKE hamda o'ralgan ESP ikkala yo'nalishda harakatlanayotganini tasdiqlang. Keyin dekapsulyatsiya qilingan trafik uchun mahalliy xavfsizlik devori hisoblagichlarini tekshiring. Tartib muhim, chunki hech narsa ko'rsatmaydigan tutish muammo xostdan yuqorida ekanini bildiradi.

sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'
sudo nft list ruleset | grep -i -A2 1701
sudo ss -lunp | grep 1701

Tutish almashinuvning birinchi yarmini tasdiqlaydi va sherik javob beryaptimi-yo'qmi ko'rsatadi. Qoidalar ro'yxati 1701 qoidasi bor-yo'qligini va har qanday tashlash siyosatiga nisbatan qayerda turishini ko'rsatadi. Soketlar ro'yxati L2TP demoni bog'langan va tinglayotganini tasdiqlaydi, bu hech qachon ishga tushmagan xizmatni istisno qiladi. Qoidani o'zgartirishdan oldin uchtasini ham o'qing, chunki tinglovchining yo'qligi va filtrlangan port foydalanuvchidan bir xil shikoyat keltiradi.

Port skanerlash nimani ko'rsata olmaydi

To'g'ri sozlangan serverga qarshi UDP 1701 ning tashqi skanerlashi odatda hech narsa xabar qilmaydi va bu kutilgan natija. Port internetga ochiq emas; unga faqat IPsec sherikni tasdiqlaganidan keyin yetib boriladi. Yopiq natijani nosozlik deb hisoblash yopiq qolishi kerak bo'lgan portni ochishga olib keladi. Skanerlash tunnel ichini ilova trafigini ko'ra olmaganchalik ko'ra olmaydi.

Buning o'rniga haqiqiy mijoz bilan sinab ko'ring va u qaysi bosqichga yetishini o'qing. Agar ulanish muzokara qilib, keyin tiqilib qolsa, gumondor L2TP demoni yoki mahalliy filtrdir; agar u hech qachon muzokara qilmasa, tashqi portlar aybdor. Shu bitta bo'linish qaysi qoida qo'shilishi haqidagi taxminlarning ko'pini yo'q qiladi va protokollarning qatlamlanishi buni sirli emas, oldindan aytib bo'ladigan qiladi.