IKE lórí TCP 4500: yẹwo gbogbo ìpẹ́kùn méjèèjì kí ó tó di ìlànà ibudo
Àwọn ìpẹ́kùn méjèèjì ni wọ́n ń jíròrò ìkópọ̀ TCP, kì í ṣe ìlànà ògiri iná ni ó ń fún ni. Ṣiṣẹ́ àyẹ̀wò olùgbọ́, gbígba àti àwọn ìpele ìtẹ́wọ́gbà mẹ́rin ní ìtẹ̀lé.
Àwọn tíkẹ́ẹ̀tì ìtìlẹ́yìn máa ń dé nígbà tí a ti fọwọ́ sí ìyípadà ògiri iná tẹ́lẹ̀ tí ọ̀nà abẹ́lẹ̀ ṣì ń kọ̀ láti gòkè. Èyí ni àbájáde tí a retí nígbà tí ẹ̀yà kan ṣoṣo ló ní ẹ̀bùn náà: ìkópọ̀ TCP ní ìbámu pẹ̀lú RFC 9329 gbọ́dọ̀ ṣe àti ṣètò ní ìpẹ́kùn méjèèjì, ìfọwọ́sowọ́pọ̀ sì ń ṣẹlẹ̀ nínú ìsopọ̀ kí ìrìnkèrìn èyíkéyìí tí a dáàbò bo tó lè gbéra. Ṣíṣí ibudo ń kéde olùgbọ́ tí ó lè máà sí, olùgbọ́ tí kò ní ìṣètò tí ó bá mu ní ẹ̀gbẹ́ kejì yóò gba ìsopọ̀ kí ó sì dákẹ́ lẹ́yìn náà. Ìtẹ̀lé tí ó wà nísàlẹ̀ ń fi àwọn àyẹ̀wò tí kò wọ́n sí iwájú.
Mọ ohun tí àṣàyàn náà ń fi kún ní ti gidi
IPsec ìbílẹ̀ ń gbé àwọn ẹrù tí a fi kóòdù pa mọ́ bíi ìlànà IP 50, láìsí nọ́mbà ibudo tí a gbọ́dọ̀ gbà. NAT traversal ń fi àwọn pákẹ́tì yẹn pa mọ́ nínú UDP lọ sí ibudo 4500, ìdí nìyẹn tí ọ̀pọ̀lọpọ̀ ìlànà ògiri iná fi ń mẹ́nu kan ibudo yẹn. RFC 9329 ń fi àfihàn ṣíṣàn kún un: àwọn pákẹ́tì IKE àti IPsec méjèèjì ń rìn nínú ìsopọ̀ TCP kan, ní àkókò púpọ̀ sí ibudo 4500.
Ṣíṣàn náà kì í ṣe iṣẹ́ wẹ́ẹ̀bù. Ìsopọ̀ TCP sí 4500 kò sọ ohunkóhun nípa HTTP, TLS tàbí ìbáṣepọ̀ pẹ̀lú aṣojú, aṣojú HTTP tí ó wà ní ọ̀nà yóò sábà ba ètò fírámù jẹ́ dípò kí ó gbé e.
Àyẹ̀wò àkọ́kọ́ kí o tó kan ògiri iná
Ìlànà náà fi TCP sí ipò àfidípò fún àwọn nẹ́tíwọ́kì tí wọ́n ń sọ ọ̀nà UDP nù, kì í ṣe àropo rẹ̀. Gba òtítọ́ méjì lọ́dọ̀ olùpèsè kọ̀ọ̀kan: orúkọ ẹ̀yà náà gan-an àti ẹ̀dà tí ó ń ṣe RFC 9329 dípò ẹ̀dà aládàáni. Àwọn àmì bíi IPsec over TCP ni a ti lò fún àwọn àpẹẹrẹ tí kò báramu, nítorí náà béèrè fún ìtọ́kasí ìwé àti kọ́kọ́rọ́ ìṣètò tí ó ń tanná. Láìsí ìdáhùn méjèèjì, má ṣe gbà ohunkóhun nípa ìbámu lórí waya.
Fi èyí hàn nínú yàrá ìdánwò níbi tí ìpẹ́kùn méjèèjì jẹ́ tìrẹ. Bóóbù tí ó ń dáhùn lórí TCP 4500 ṣùgbọ́n kò parí IKE rí jẹ́ àmì olùgbọ́ tí kò ní ìkópọ̀ tí ó bá mu ní ẹ̀gbẹ́ kejì, àti wíwá a níbẹ̀ pọ̀ sí i jẹ́ kò wọ́n ju wíwá a lákòókò fèrèsé ìyípadà.
Ní ẹ̀gbẹ́ olùdáhùn: ṣé ohun kan ń gbọ́
Bẹ̀rẹ̀ pẹ̀lú sọ́kẹ́tì. ss -ltnp | grep 4500 fi hàn bóyá olùgbọ́ TCP wà àti èwo ìlànà ni ó ní í. Àìsí ìlà kan parí ìwádìí ní ìṣètò bóóbù dípò ní nẹ́tíwọ́kì.
Tí sọ́kẹ́tì bá wà, wo ìfọwọ́sowọ́pọ̀ ọwọ́ dípò kí o ṣe àfojúsùn láti ẹ̀gbẹ́ oníbàárà: tcpdump -ni any 'tcp port 4500'. Ìfọwọ́sowọ́pọ̀ ọwọ́ ọ̀nà mẹ́ta tí ó parí tí ìdákẹ́jẹ́ tẹ̀lé túmọ̀ sí pé a gba ṣíṣàn náà àti pé pàṣípààrọ̀ IKE nínú rẹ̀ kùnà, nígbà tí SYN tí kò ní ìdáhùn ń tọ́ka sí àtúwò tàbí àdírẹ́sì tí kò tọ́.
Fi wé ọ̀nà UDP nínú fèrèsé gbígba kan náà kí àwọn méjèèjì má baà dàrú: tcpdump -ni any 'udp port 4500 or proto 50'. Ìrìnkèrìn lórí ìlànà 50 tàbí ibudo UDP 4500 nígbà tí o ro pé TCP ni a ń lò túmọ̀ sí pé àwọn ìpẹ́kùn kò tiẹ̀ gbà lórí àfidípò. Gba àti ní bóóbù tí o bá lè ṣe é, nítorí gbígba ní ẹ̀gbẹ́ oníbàárà kò lè fi hàn ohun tí ẹ̀gbẹ́ jìnnà rán.
Gbà ní àwọn ìpele mẹ́rin ọ̀tọ̀ọ̀tọ̀
Wo gbígbé gòkè bíi àbájáde mẹ́rin. Ọ̀kọ̀ọ̀kan lè kùnà fún ìdí ọ̀tọ̀ọ̀tọ̀, àti àṣeyọrí tàbí ìkùnà kan ṣoṣo ń fi pamọ́ èwo ni, nítorí náà dúró ní ìpele àkọ́kọ́ tí ó kùnà kí o sì tún bẹ̀rẹ̀ láti orí.
| Stage | What you check | What it proves |
|---|---|---|
| 1 | TCP connection established to 4500 | A listener exists and the path permits it |
| 2 | IKE_SA authenticated in the gateway log | Both peers agreed on the encapsulation |
| 3 | CHILD_SA installed, visible with ip xfrm state | Keys exist for the protected traffic |
| 4 | A new application exchange succeeds | The data path works, not just the control path |
Ìpele kẹrin ni èyí tí a ń fò ó. Ìpàdé tí ó wà tẹ́lẹ̀ lè máa ṣiṣẹ́ lórí ipò tí a ti fipamọ́, nítorí náà ṣí ìsopọ̀ tuntun sí olùgbàlejò tí ó wà lẹ́yìn bóóbù kí o tó pa ìyípadà mọ́. Tí ìpele kejì bá kùnà nígbà tí èyí àkọ́kọ́ ń kọjá, àìbáramu wà nínú àbá tàbí nínú ètò ìkópọ̀, kì í ṣe nínú ògiri iná.
Ìpadà sẹ́yìn, àti iye tí ó jẹ́ láti fi í ṣí
Ṣètò ìfagilé kí ìyípadà tó ṣẹlẹ̀: pa àṣàyàn ìkópọ̀ kúrò ní ìpẹ́kùn méjèèjì kí o sì jẹ́rìí pé ọ̀nà abẹ́lẹ̀ padà wá nípasẹ̀ UDP. Pa ìlànà TCP mọ́ fún ìyípo àyẹ̀wò kan tí àfidípò bá tún nílò, lẹ́yìn náà yọ ọ́ kúrò. Olùgbọ́ tí a kò lò lórí 4500 jẹ́ ojú tí kò ní iye iṣẹ́.
Ṣọ́ra fún àmì iṣẹ́ nígbà tí ó bá ń gbé iṣẹ́ gidi. TCP nínú TCP ń fi àwọn ìpele ìjẹ́rìí kún un tí wọ́n dúró ní ìpàdánù kan, àwọn ṣíṣàn tí wọ́n pín ìsopọ̀ kan lè dí ara wọn lọ́nà, nítorí náà wọn ètò tí yóò lo ọ̀nà abẹ́lẹ̀ dípò ping.
Àkójọ ìtẹ́wọ́gbà
Jẹ́rìí orúkọ àti ẹ̀dà ẹ̀yà náà ní ìpẹ́kùn méjèèjì, olùgbọ́ ní ẹ̀gbẹ́ olùdáhùn, gbígba tí ó fi ìfọwọ́sowọ́pọ̀ ọwọ́ tí ó parí hàn, àti àwọn ìpele mẹ́rin tí a kọ pẹ̀lú àmì àkókò. Fi ìdí àfidípò kún àkọsílẹ̀ ìyípadà kí ẹnjínìà tí ó kàn lè mọ ìdí tí TCP fi wà níbẹ̀. Ṣe àdánwò ìpadà sẹ́yìn kí o tó nílò rẹ̀.
Tí ìpele èyíkéyìí bá kùnà, tún ìpele yẹn ṣe nìkan. Yíyí ètò ìkóòdù tàbí ètò ìdánimọ̀ padà láti lé àìtẹ́lọ́rùn ìrìnàjò máa ń fi ìkùnà kejì tí kò báramu kún orí èyí àkọ́kọ́.