VPN wymaga otwarcia portu UDP 500

VPN wymagający otwarcia portu UDP 500 wskazuje na protokół IKEv2/IPsec wykorzystujący ten port do wymiany kluczy.

Dlaczego VPN korzysta z portu UDP 500

Wymóg otwarcia portu UDP 500 zwykle oznacza, że połączenie VPN korzysta z protokołu IKE, czyli Internet Key Exchange, używanego do negocjowania parametrów zabezpieczonego tunelu IPsec. Port UDP 500 służy przede wszystkim do wymiany komunikatów sterujących: strony połączenia rozpoznają się, uzgadniają algorytmy kryptograficzne, tworzą materiał kluczowy i ustalają, w jaki sposób będzie chroniony właściwy ruch. Samo otwarcie tego portu nie oznacza jeszcze, że przez UDP 500 przesyłane są wszystkie dane użytkownika.

IKEv2, opisany w dokumencie RFC 7296, wykorzystuje komunikaty IKE_SA_INIT oraz IKE_AUTH. Pierwsza faza uzgadnia między innymi grupę Diffiego-Hellmana, algorytmy szyfrowania i integralności oraz wartości losowe potrzebne do utworzenia bezpiecznego skojarzenia IKE. Następnie IKE_AUTH służy do uwierzytelnienia stron i utworzenia skojarzeń bezpieczeństwa dla protokołu IPsec. W praktyce zapora sieciowa musi przepuszczać ruch przychodzący i wychodzący UDP na porcie 500, jeżeli właśnie tą drogą ma rozpocząć się negocjacja.

Port 500 a właściwy transport tunelu IPsec

Port UDP 500 odpowiada za sygnalizację IKE, natomiast zaszyfrowane pakiety danych mogą być przenoszone przez ESP, czyli Encapsulating Security Payload. ESP jest protokołem IP o numerze 50, a nie usługą działającą na porcie TCP lub UDP. Z tego powodu reguła dopuszczająca wyłącznie UDP 500 może wystarczyć do rozpoczęcia uzgadniania, lecz nie musi wystarczyć do przesyłania danych po ustanowieniu tunelu. Wymagania zależą od topologii sieci, użytego trybu IPsec oraz sposobu filtrowania ruchu.

Jeżeli jedna ze stron znajduje się za translacją adresów NAT, bezpośredni transport ESP może być utrudniony, ponieważ NAT zmienia informacje adresowe i śledzi połączenia na podstawie portów. IKEv2 może wtedy przełączyć transport na NAT-T, czyli encapsulation of IPsec in UDP. W tym wariancie po wykryciu NAT szyfrowane pakiety ESP są umieszczane w datagramach UDP 4500. Dlatego w wielu konfiguracjach konieczne jest dopuszczenie zarówno UDP 500 do początkowej negocjacji, jak i UDP 4500 do dalszej pracy tunelu. Nie należy utożsamiać UDP 4500 z zamiennikiem portu 500 w każdej konfiguracji, ponieważ przełączenie zależy od wyniku wykrywania translacji adresów.

Jak rozpoznać problem z negocjacją IKEv2

Brak połączenia po otwarciu UDP 500 może mieć kilka przyczyn. Pierwszą jest filtrowanie ruchu na routerze, zaporze systemowej albo urządzeniu pośredniczącym. Drugą może być niedopuszczenie UDP 4500, gdy tunel wymaga NAT-T. Trzecią stanowi brak obsługi lub blokowanie protokołu ESP, jeżeli konfiguracja nie korzysta z enkapsulacji w UDP. Sam komunikat wskazujący na port 500 nie pozwala więc stwierdzić, że problem dotyczy wyłącznie jednego numeru portu.

Diagnostyka powinna obejmować porównanie konfiguracji klienta i serwera VPN: adresu zdalnego, identyfikatorów IKE, metody uwierzytelniania, certyfikatów lub kluczy współdzielonych, proponowanych algorytmów oraz ustawień tras. Warto sprawdzić, czy pakiety UDP 500 opuszczają komputer i czy pojawia się odpowiedź z drugiej strony. Rejestry systemowe klienta VPN mogą rozróżnić brak odpowiedzi IKE, odrzucenie uwierzytelnienia, niezgodność propozycji kryptograficznych i problem z ustanowieniem skojarzeń CHILD_SA. Taka informacja jest bardziej użyteczna niż samo stwierdzenie, że ikona VPN nie zmieniła stanu.

Nie powinno się otwierać portu szerzej, niż wymaga tego konkretna konfiguracja. Reguła zapory powinna uwzględniać właściwy interfejs, kierunek ruchu i adres drugiej strony, o ile urządzenie pozwala na takie ograniczenie. Po zmianie ustawień należy sprawdzić cały cykl połączenia: negocjację IKE, uwierzytelnienie, utworzenie kanału IPsec, dostęp do zasobów przez tunel oraz zachowanie po rozłączeniu. Pozwala to odróżnić problem z negocjacją od późniejszego problemu z trasowaniem albo DNS.

Diagnostyka VPN na laptopie lub komputerze PC

Na komputerze użytkownika należy najpierw ustalić, jaki typ VPN został skonfigurowany i czy nazwa profilu rzeczywiście wskazuje na IKEv2/IPsec. Inne technologie VPN mogą używać innych portów, protokołów transportowych i mechanizmów uwierzytelniania, dlatego nie należy kopiować reguł zapory z przypadkowej instrukcji dotyczącej innego rozwiązania. W systemie trzeba także zweryfikować stan usługi VPN, profil sieciowy, aktywne reguły zapory oraz ewentualne konflikty z dodatkowym oprogramowaniem filtrującym ruch.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego w przypadku problemów z połączeniem można zlecić sprawdzenie komputera, konfiguracji sieciowej oraz działania klienta VPN. Diagnostyka powinna opierać się na logach i obserwacji ruchu, a nie na przypadkowym otwieraniu kolejnych portów. Jeżeli przyczyną jest router, niewłaściwa konfiguracja połączenia lub niedostępność urządzenia VPN po stronie zdalnej, ustalenie granicy problemu pozwala skierować dalsze działania do właściwego elementu infrastruktury.