IKEv2 ń lo UDP 500 àti 4500: èwo ló ń gbé dátà?

Ṣíṣí UDP 500 nínú firewall máa ń jẹ́ kí tunnel lè ṣe ìdúnàdúrà, lẹ́yìn náà ìsopọ̀ yóò dá ṣíṣe gbígbé ìrìnàjò. Àkójọ pọ́ọ̀tì náà kò pé, kì í ṣe àṣìṣe. IKEv2 bẹ̀rẹ̀ lórí socket kan, nínú ọ̀pọ̀ ìṣàfilọ́lẹ̀ gidi ó ń tẹ̀síwájú lórí òmíràn, nígbà tí ẹrù náà lè máà jẹ́ pọ́ọ̀tì rárá. Kíkà àwọn ìpele lẹ́sẹẹsẹ ṣàlàyé irú òfin tó sọnù.

Pọ́ọ̀tì méjì, iṣẹ́ méjì

IKEv2 bẹ̀rẹ̀ pẹ̀lú pàsípààrọ̀ kọ́kọ́rọ́ lórí UDP 500, níbi tí àwọn ẹgbẹ́ méjèèjì ti ń jẹ́rìí ara wọn tí wọ́n sì ń dá ẹgbẹ́ ààbò fún tunnel. Ọ̀nà dátà tó tẹ̀le jẹ́ ọ̀ràn ọ̀tọ̀: ó lè jẹ́ ESP àbínibí, èyí tí í ṣe nọ́mbà ìlànà IP kì í ṣe pọ́ọ̀tì, tàbí ìrìnàjò tí a fi UDP ká ní 4500. Pípa àwọn méjèèjì yàtọ̀ nínú àyẹ̀wò firewall ni ìyàtọ̀ láàárín tunnel tó ń ṣe ìdúnàdúrà àti tunnel tó ń ṣiṣẹ́. Socket kan ń gbé ìṣàkóso, èkejì ń gbé ẹrù.

Ìdí ni pé òfin tó ń gbà 500 nìkan máa ń ṣe àmì àìsàn tó ń da èrò rú jù nínú gbogbo ìdílé ìlànà: ìdúnàdúrà máa ń ṣàṣeyọrí, kò sì sí ohun èlò tó ń tẹ̀le. Ipò ń fi peer hàn, àkọsílẹ̀ ń fi IKE SA tí a dá hàn, síbẹ̀ ohun èlò náà ṣì ń parí àkókò. Àṣẹ tó sọnù jẹ́ ti ìṣàn mìíràn ju èyí tó ṣàṣeyọrí lẹ́sẹẹsẹ yìí.

Ìdí tí 4500 fi wà

Ọ̀pọ̀ ẹ̀rọ NAT kò lè gbé ìlànà mìíràn yàtọ̀ sí TCP tàbí UDP, àwọn kan sì ń tún àdírẹ́sì kọ ní ọ̀nà tí ń fọ́ ìwádìí ìpéye ESP. Fífi ESP ká nínú UDP máa ń yanjú àwọn ìṣòro méjèèjì, ní iye orí àfikún àti pọ́ọ̀tì kejì tí ó yẹ kí a gbà. Ìkúnkú náà gan-an ni ìdí tí pọ́ọ̀tì kejì fi wà.

Nígbà tí a bá mọ NAT, IKE fúnra rẹ̀ tún ń lọ sí 4500 kí gbogbo ìrìnàjò lè pín ọ̀nà kan nípasẹ̀ olùtumọ̀. Àmì báìtì mẹ́rin tí kì í ṣe ESP ń ya àwọn ìfiránṣẹ́ ìṣàkóso kúrò nínú dátà lórí socket yẹn. Ìyípadà náà jẹ́ ìpinnu ìlànà, kì í ṣe ìfẹ́ alábòójútó.

Ibi tí pọ́ọ̀tì orísun ti ń yí padà

Olùtumọ̀ lè tún pọ́ọ̀tì orísun alákòóso kọ, nítorí náà tuple tí a rí lórí server kò bá tuple lórí alákòóso mu. Wo ẹ̀gbẹ́ méjèèjì gbogbo ìfò NAT kí o tó pinnu pé a ń pa òfin kan tì. Wíwá ìṣòro lórí alákòóso nìkan lè mú òfin tó dàbí ẹni tó tọ̀nà tí yóò sì kùnà.

Àwọn ìṣàfilọ́lẹ̀ tó ń ṣe àtìlẹ́yìn MOBIKE lè tún lọ sí 4500 láì mọ NAT, àwọn ìṣàfilọ́lẹ̀ kan sì ń fipá mú ọ̀nà yẹn mọ̀ọ́mọ̀. Nítorí náà rírí 4500 jẹ́ ẹ̀rí ìpinnu, kì í ṣe ẹ̀rí router ilé.

Ṣàyẹ̀wò àwọn ìṣàn méjèèjì ní gbogbo ààlà

Rìn ká àwọn ààlà mẹ́ta: nẹ́tíwọ́kì alákòóso, firewall àárín yóòkù, àti server. Ọ̀kọ̀ọ̀kan nílò àwọn ìṣàn tí ìṣàfilọ́lẹ̀ kọ sílẹ̀, kì í ṣe àwọn ìṣàn láti àpilẹ̀kọ nípa ọ̀ràn mìíràn.

sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or udp port 4500'
sudo iptables -S | grep -E '500|4500|esp'
ip xfrm state

Ìlà ESP nínú àkójọ firewall jẹ́ ìbámu ìlànà, nítorí náà òfin pọ́ọ̀tì kì í bo ó rárá. Tí olùṣiṣẹ́ bá ń lo pọ́ọ̀tì àkànṣe, tẹ̀le ìṣètò tí a kọ sílẹ̀ ní ẹ̀gbẹ́ méjèèjì, nítorí alákòóso kò lè dá olùgbọ́ lórí server nípa yíyan nọ́mbà tí a mọ̀.

Kọ ibi tí ìdúnàdúrà ti dúró àti bóyá a ti fi ẹgbẹ́ ààbò ọmọ sínú, nítorí pé pẹ̀lẹ́ yẹn ń ya ọ̀nà tí a dí kúrò nínú àṣìṣe ìjẹ́rìí tàbí ìlànà. Lẹ́yìn náà tún àdánwò ṣe pẹ̀lú ìjẹ́rìí server tí ó ṣí, nítorí ìwúlò kì í ṣe ìjẹ́rìí. Ìgbésẹ̀ ìkẹyìn yẹn ń ya pọ́ọ̀tì tí a gbà kúrò nínú peer tí a gbẹ́kẹ̀lé.