Ìbéèrè dátàbésì ń dúró lórí IPsec: àtúnsèlẹ̀ UDP tàbí TCP?
Ìbéèrè tí ó dúró lẹ́yìn handshake mímọ́ ń tọ́ka sí inú ọ̀nà tunnel. Àwọn ipò mẹ́ta ló pinnu bóyá a óò tún ọ̀nà náà ṣe tàbí a óò padà sí TCP ní 443.
Ìbéèrè tí ó dúró lẹ́yìn handshake TCP kìí ṣe ìṣòro ìtọ́sọ́nà. Àwọn àṣìṣe ọ̀nà máa ń já handshake kùnà, nítorí náà ìpàdé tí ó bẹ̀rẹ̀ tí ó sì dákẹ́ ń tọ́ka sí inú ọ̀nà náà: àyẹ̀wò, MTU, tàbí bí àwọn pákẹ́tì UDP ti tunnel ṣe ń dé. Ìpinnu tí ó wà níwájú rẹ ni bóyá kí o tún ọ̀nà yẹn ṣe tàbí kí o gbé tunnel lọ sí TCP. Àwọn ipò mẹ́ta ló pinnu èyí, kò sì sí ọ̀kankan nínú wọn tí ó jẹ́ nípa dátàbésì.
Pín dúródúró náà kí o tó dá tunnel lẹ́bi
Àwọn èsì mẹ́rin máa ń dà bíi ti ara wọn fún olùlò ṣùgbọ́n wọ́n ní ìtumọ̀ tí ó yàtọ̀ pátápátá fún ẹlẹ́rọ́.
| What the client sees | What it rules out |
|---|---|
| Connection refused | Nothing is listening on the address and port the client reached |
| Timeout before the handshake | A filter, a missing route, or the wrong address |
| Handshake completes, query hangs | The session exists, so look at inspection, MTU and packet order |
| Stalls that recover on retry | Often reordering, or a state table entry expiring |
Àwọn ìlà méjì tí ó gbẹ̀yìn nìkan ló dá wa láre láti lo àkókò lórí tunnel. Ìsopọ̀ tí a kọ̀ nípasẹ̀ VPN sábà máa ń jẹ́ dátàbésì tí ń gbọ́rọ̀ lórí loopback nìkan, èyí tí ó jẹ́ ìṣòro olùgbọ́rọ̀, àti àkókò tí ó tán kí handshake tó bẹ̀rẹ̀ jẹ́ àlẹ̀mọ́ tàbí ọ̀nà. Ẹ̀kọ̀ọ̀kan wọn kò ní sunwọ̀n síi nípasẹ̀ yíyí ìṣùpọ̀ padà.
Kọ́ ìpín náà sínú tíkẹ́ẹ̀tì ní àkọ́kọ́. Ìyẹn ni ìgbésẹ̀ tí ó pọ̀ jùlọ ní owó tí ó sì ń mú ọ̀pọ̀lọpọ̀ ààyè wíwá kúrò.
Àwọn ipò mẹ́ta tí ó ń pinnu láàárín UDP àti TCP
Ìrìnṣẹ́ IPsec tí a ti fi ìṣùpọ̀ kún ń gba UDP, UDP sì ń fún ọ̀nà ní òmìnira láti tún ṣètò àti láti ju sílẹ̀ láìsọ fún ẹnikẹ́ni. Nígbà tí àtúnsèlẹ̀ bá ti pákẹ́tì jáde kúrò nínú fèrèsé ìdènà-àtúnṣe ti tunnel, wọ́n máa ń ju wọ́n nù ní ìdákẹ́jẹ́, ìpàdé TCP tí ó wà nínú sì ń dúró lásán. Ìyẹn ni ọ̀nà tí ó wà lẹ́yìn handshake tí ó ṣàṣeyọrí àti ìbéèrè tí kìí padà.
Láti tún ọ̀nà ṣe tàbí láti padà sí TCP dá lórí àwọn nǹkan mẹ́ta. Ìkíní, ṣé pípàdánù pákẹ́tì gidi wà lórí ọ̀nà, tàbí àtúnsèlẹ̀ nìkan? Ìkejì, ṣé o lè yí ibi tí àyẹ̀wò ti ń ṣẹlẹ̀ padà, tàbí kí o yọ tunnel yìí kúrò nínú ẹ̀yà tí ń tún ṣètò? Ìkẹta, ṣé iṣẹ́ náà gbó tí ó bá déjà ipò dúródúró, bíi ọ̀pọ̀ ìpàdé àpapọ̀ tí ń pín ọ̀nà kan?
Bí ìdáhùn àkọ́kọ́ bá jẹ́ pípàdánù tí èkejì kò rí bẹ́ẹ̀,TCP lórí 443 ni àbáyọ̀ tí ó wúlò. Bí ìdáhùn èkejì bá jẹ́ bẹ́ẹ̀ẹ́ni, tún ọ̀nà ṣe kí o sì pa UDP mọ́.
Ka àkọsílẹ̀ firewall, kìí ṣe àṣìṣe application
Application ń jábọ̀ àkókò tí ó tán, èyí tí kò sọ nǹkan kan nípa ìdí. Àkọsílẹ̀ firewall fúnra rẹ̀ ni ibi tí jíjù tàbí dídènà ti ń farahàn, nítorí náà ṣe àkójọpọ̀ nípa àwọn àdírẹ́sì dátàbésì àti application kí o sì wá jíjù pẹ̀lú gbígbà.Àwọn blade ìdènà ewu lè ju pákẹ́tì sílẹ̀ láìdá àṣìṣe ní ìpele application, ìyẹn sì ni ìrísí ìbéèrè tí ń dúró gan-an. Ìdákẹ́jẹ́ nínú àkọsílẹ̀ tún jẹ́ dátà: ó ń tọ́ka sí nǹkan tí kìí ṣe àkọsílẹ̀, bíi àtúnsèlẹ̀.
Ṣàyẹ̀wò cluster pẹ̀lú. Cluster tí a kò tò dáadáa lè di ìpàdé mú nínú tábìlì ipò lórí ọmọ ẹgbẹ́ kan nígbà tí àwọn pákẹ́tì ń gba ọ̀nà ọmọ ẹgbẹ́ mìíràn, nítorí náà àwọn ìdáhùn ń dé ibi tí kò sí ipò. Irú dúródúró bẹ́ẹ̀ máa ń dà bíi àìlẹ́sẹ̀, kò sì ní ìsopọ̀ pẹ̀lú ẹrù.
Fi àwọn ìpẹ̀kun méjèèjì wé kí o tó yí nǹkan kan padà, kí o sì fi ìtòlẹ́sẹẹsẹ dídé wé dípò iye pákẹ́tì:
tcpdump -ni any udp port 4500 -w /tmp/encap.pcap
tcpdump -ni any tcp port 5432 -w /tmp/inner.pcapKí ni TCP lórí 443 ń ná ọ ní ti gidi
Gbígbé tunnel lọ sí TCP máa ń mú àmì àtúnsèlẹ̀ kúrò, nítorí àpótí àárín ń rí ìṣàn tí ó wà létòlétò báyìí. Ó tún ń dá TCP lórí TCP. Ìsopọ̀ òde ń fi ohun tí ìsopọ̀ inú ti fi ránṣẹ́ ránṣẹ́ lẹ́ẹ̀kan sí i, pípàdánù kan sì lè dá gbogbo àwọn ìpàdé àpapọ̀ dúró lẹ́ẹ̀kan náà. Lórí ọ̀nà mímọ́ èyí kò hàn. Lórí ọ̀nà tí ó ní pípàdánù, ìwòsàn burú ju àmì lọ.
Pàṣípààrọ̀ náà jẹ́ ìtẹ́wọ́gbà nígbà tí àbáyọ̀ jẹ́ àìsí ìsopọ̀ rárá, a sì gbọdọ̀ kọ ọ́ sílẹ̀ gẹ́gẹ́ bi ìyàsọ́tọ̀ pẹ̀lú olówó rẹ̀ dípò kí a gbà á gẹ́gẹ́ bi ohun tí ó wọ́pọ̀.
Ṣàkọsílẹ̀ irinṣẹ́, ebute, ìbéèrè àpẹẹrẹ àti èsì tí a wọ́n, pẹ̀lú ọjọ́. Láìsí àkọsílẹ̀ yẹn ẹlẹ́rọ́ tí ó kàn yóò tún ìdánwò náà ṣe, ìyàsọ́tọ̀ yóò sì di ìmọ̀ ẹ̀rọ ní ìdákẹ́jẹ́.
Jẹ́ kí ìpinnu náà lè jẹ́ àtúnyẹ̀wò
Àyẹ̀wò ọ̀nà máa ń gbó. Wọ́n máa ń yí àpótí àárín padà, ìtòlẹ́sẹẹsẹ blade máa ń yí padà, wọ́n máa ń gbé ọ̀nà sókè, ìdí fún TCP lórí 443 sì máa ń pòórá nígbà tí ìtòlẹ́sẹẹsẹ náà wà. Fi ọjọ́ àtúnyẹ̀wò sí ìyàsọ́tọ̀ náà kí o sì dárúkọ ipò tí yóò jẹ́ kí o padà sí UDP.
Dán irinṣẹ́ méjèèjì wò pẹ̀lú ìbéèrè kékeré àti pẹ̀lú àkójọpọ̀ èsì ńlá. Àtúnsèlẹ̀ máa ń hàn gẹ́gẹ́ bi dúródúró tí ó dá lórí ìwọ̀n, nígbà tí àṣìṣe olùgbọ́rọ̀ ń dá ìwọ̀n méjèèjì dúró bákan náà.