ESP jẹ́ ìlànà IP 50, kì í ṣe ibùdókọ̀ TCP 50: kí ni ó yẹ kí a gbà láàyè
Àwọn nọ́mbà ìlànà àti àwọn nọ́mbà ibùdókọ̀ jẹ́ ààyè orúkọ ọ̀tọ̀ọ̀tọ̀. Ìlànà fún ibùdókọ̀ TCP 50 kò gbà ohunkóhun láàyè, NAT traversal sì ń gbé ESP lọ sí UDP 4500.
Àwọn fọ́ọ̀mù firewall béèrè ibùdókọ̀ TCP, ìforúkọsílẹ̀ tí ó hàn gbéra sì ni 50. Ìforúkọsílẹ̀ yẹn kò gbà ohunkóhun láàyè, nítorí ESP ni ìlànà IP nọ́mbà 50 àti àwọn nọ́mbà ìlànà kì í ṣe ibùdókọ̀. Ààyè orúkọ méjèèjì ń pín àwọn nọ́mbà odidi kékeré nìkan àti kò sí ohun mìíràn, àti àṣìṣe náà kò hàn títí IKE yóò fi parí àti pé ọ̀nà ìrìnnà tí a dáàbò bò kò ní dé rárá.
Ààyè orúkọ méjì tí wọ́n ń pín àwọn nọ́mbà kékeré
Orí-ọ̀rọ̀ IP ń gbé pápá ìlànà tí ó ń dárúkọ ohun tí ó tẹ̀le: 6 fún TCP, 17 fún UDP, 1 fún ICMP, 50 fún ESP, 51 fún AH. Orí-ọ̀rọ̀ TCP tàbí UDP ń gbé àwọn nọ́mbà ibùdókọ̀, tí wọ́n ń yan ìlànà kan lórí ẹ̀rọ tí ó ń gbà. Ìlànà 50 àti ibùdókọ̀ TCP 50 jẹ́ iye tí kò ní ìsopọ̀, ṣùgbọ́n àpótí ìjíròrò lè mú kí wọ́n dàbí ẹni tí a lè pààrọ̀.
Ìdí niyẹn tí ìlànà gbígbé ibùdókọ̀ kò fi lè ṣàpèjúwe ESP àbínibí. Kò sí ibùdókọ̀ ibi-ìlọ ESP láti gbé, àti ẹ̀rọ tí ó yé ìlànà ibùdókọ̀ nìkan kò ní ọ̀rọ̀-ìwé rárá fún àpò yẹn. Ìlànà tí ó tọ́ ń dárúkọ ìlànà IP. Àpótí ìjíròrò ibùdókọ̀ èyíkéyìí jẹ́ irinṣẹ́ tí kò tọ́ fún àpò yẹn.
Ìdàrúdàpọ̀ ní ìdajì kejì pẹ̀lú. Nígbà tí a bá fi àpò náà pamọ́, ohun gbogbo tí ó wà nínú rẹ̀ kò hàn, pẹ̀lú orí-ọ̀rọ̀ TCP ti ìsopọ̀ àkọ́kọ́. Firewall tí ó ń yẹ ibùdókọ̀ wò nínú àpò yẹn ń wo orí-ọ̀rọ̀ ìta, tí kò ní ibùdókọ̀ láti yẹ̀wò nínú irú àbínibí.
ESP àbínibí, lẹ́yìn náà àṣàyàn tí a fi pamọ́
A ń gbé ESP àbínibí tààrà gẹ́gẹ́ bí ìlànà IP, èyí tí ó dára àti tí ó nira ní ìwọ̀n kan náà. Ó dára nítorí kò sí orí-ọ̀rọ̀ àfikún, ó sì nira nítorí kò sí ẹ̀rọ tí ó ń túmọ̀ àdírẹ́sì àti ibùdókọ̀ tí ó lè tẹ̀lé e. NAT traversal wà láti yanjú ìyẹn, nípa wíwé àpò ESP sínú UDP kí olùtúmọ̀ lè ní ibùdókọ̀ láti kọ sílẹ̀.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
Àwọn ọ̀nà méjèèjì jẹ́ ìgbékalẹ̀ àṣàyàn ti ọ̀nà dátà kan náà, kì í ṣe àwọn ìpele ti ọ̀kan. Gbígba ESP àbínibí láàyè kò gbà ọ̀nà tí a fi pamọ́ láàyè, gbígba UDP 4500 láàyè kò sì gbà ọ̀nà ìrìnnà àbínibí láàyè, nítorí náà àkójọ ìlànà gbọ́dọ̀ bá ìgbékalẹ̀ mu, kì í ṣe láti bo méjèèjì láìrò.
Ìdánimọ̀ náà ṣe pàtàkì níbí pẹ̀lú. Àwọn ojú-ìparí ń yan láàrin àwọn ọ̀nà nígbà ìjíròrò, ìyípadà sì máa ń ṣẹlẹ̀ nígbà tí a bá dá NAT mọ̀ láàrin wọn. Nítorí náà ọ̀nà tí ó yípadà lẹ́yìn tí a ti fi ògiri-ìsàlẹ̀ kalẹ̀ lè gbé ìrìnnà lọ sí ààyè orúkọ tí àwọn ìlànà rẹ kò bo rárá.
Ka irú ọ̀nà tí ìsopọ̀ ń lò gan
Bèèrè lọ́wọ́ ojú-ìparí dípò kí o máa ṣe àfojúsùn láti firewall. Nínú Linux ìforúkọsílẹ̀ ipò ń sọ bóyá ẹgbẹ́ náà ń lo ìwéwé UDP àti àwọn ibùdókọ̀ tí ó kópa. Gbígbé àpò ń dáhùn ìbéèrè kan náà láti okùn, àti méjèèjì yára ju kíkà àkójọ ìlànà àti ìrètí.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'Àṣẹ àkọ́kọ́ ń fi irú ìwéwé hàn nígbà tí a bá ń lo NAT traversal àti kò fi ohunkóhun hàn nígbà tí a kò lò ó. Èkejì ń fi hàn irú ọ̀nà wo nínú méjèèjì tí ó ń kọjá interface gan, èyí sì ń parí àríyànjiyàn nípa ìṣètò tí ó dàbí ẹni tí ó tọ́ lórí bébà.
Ẹ̀rí ìtakora wà nínú ìgbésẹ̀ kan náà. Ìlànà tí ó ń sọ pé kò sí ìbámu rárá ń sọ fún ọ pé àpò kò dé ibẹ̀ rárá, àti pé ìbéèrè ìtọ́nisọ́nà tàbí olùyàn ni, kì í ṣe ti firewall.
Lẹ́yìn náà jẹ́rìí sí ọ̀nà ìṣàkóso lọ́tọ̀. IKE ní àwọn ibùdókọ̀ tirẹ̀ àti àwọn àkọsílẹ̀ tirẹ̀, àti ìjíròrò tí ó parí láìsí dátà gan ni ìpínyà tí àpilẹ̀kọ yìí ń sọ.
Kọ ìlànà náà sínú ààyè orúkọ tí ó tọ́
Ìlànà ìlànà àti ìlànà ibùdókọ̀ jẹ́ ìtọ́nisọ́nà ọ̀tọ̀ọ̀tọ̀, nítorí náà irinṣẹ́ gbọ́dọ̀ ṣàpèjúwe èyí tí o ní lọ́kàn. Nínú nftables ìbámu ìlànà hàn gbangba, àti àṣàyàn tí a fi pamọ́ ń gba ìlànà UDP tirẹ̀. Jẹ́ kí àwọn ìlànà méjèèjì wà lẹ́gbẹ̀ẹ́ ara wọn kí ẹgbẹ́ méjèèjì hàn nínú àyẹ̀wò.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptMá ṣe gbèrò láti fẹ̀ ìlànà kankan láti èsan ìdánimọ̀ tí kò tọ́. Gbígba ohun gbogbo láàyè fún ìlànà ESP lórí gbogbo interface, tàbí gbígba UDP láti ibikíbi dé ibikíbi, ń tọ́jú àmì àti ń yọ ìṣàkóso tí o ń gbìyànjú láti ṣètò kúrò. Ṣíṣàn tóóró tí a ṣètìlẹ́yìn fẹ́rẹ̀ẹ́ máa tó nígbà tí a bá mọ ọ̀nà náà.
Níkẹyìn, jẹ́ kí àwọn ìpele dúró tààrà nígbà tí ògiri-ìsàlẹ̀ ń ṣiṣẹ́ tí ohun-èlò kò ṣiṣẹ́. Àwọn àpò tí ó dé ẹnu-ọ̀nà ṣì nílò gbígbé lọ, ọ̀nà ìpadà àti ìlànà tí ó gbà wọ́n, kò sì sí ọ̀kan nínú ìwọ̀nyí tí ìlànà ESP ń ṣàpèjúwe. Ibùdókọ̀ tí ó ṣáko ló ń ṣàlàyé ìkùnà pàtó kan, kì í ṣe gbogbo ìkùnà IPsec. Jẹ́ kí àtúnṣe ìlànà àti àyẹ̀wò ìtọ́nisọ́nà wà gẹ́gẹ́ bí ìparí méjì ọ̀tọ̀ọ̀tọ̀.
Kọ ọ̀nà tí o ṣàkíyèsí, ìlànà ìlànà tí o fi kún àti olùkà tí o rí lẹ́yìn náà. Ìlà mẹ́ta, ẹni tí ó kàn lè ṣe ìyàtọ̀ láàrin àṣìṣe ààyè orúkọ àti àṣìṣe ìtọ́nisọ́nà ní ìṣẹ́jú kan dípò ọ̀sán.