ESP het aangekom maar niks is ontsyfer nie? Volg die inkomende stadiums

Sien hoe 'n firewall se enkripsieteller styg terwyl die tonnel niks aflewer nie, en die instink is om 'n toegangsreel te verbreed. Daardie instink slaan die ontvanger se eie reeks kontroles oor. 'n Inkomende ESP-pakket gaan deur verskeie stadiums, en elkeen kan die pakket se lewe om 'n ander rede beëindig: geen passende assosiasie nie, 'n herspelings- of integriteitsfout, of 'n binnepakket wat reg is maar nie verder toegelaat word nie. Om die stadium te noem wat gefaal het, verander 'n vae bewering dat IPsec stukkend is in 'n spesifieke teller en 'n spesifieke regstelling.

Aankoms is een waarneming, nie drie nie

Eksterne opname wat wys ESP bereik die gateway, bewys net dat die buitenste pakket aangekom het. Aanvaarding beteken die ontvanger het die assosiasie gevind en die pakket gevalideer. Aflewering beteken die herwonne binnepakket is na sy bestemming gerouteer en beantwoord. Dit is aparte uitkomste, en 'n paneelbord wat hulle saamsmelt, verberg juis die inligting wat jy nodig het.

Dieselfde onderskeid verduidelik 'n algemene verslag: een eweknie se enkripsieteller styg terwyl die ander geen nuttige ontsyferde verkeer rapporteer nie. Beide stellings kan gelyktydig waar wees, want hulle beskryf verskillende stadiums van dieselfde poging.

Assosiasie-soektog gebeur voor ontsyfering

Die ontvanger hermonteer fragmente indien nodig en vind dan die veiligheidsassosiasie vir die pakket. Vir gewone unicast kies die SPI en die bestemming dit. Geen geldige assosiasie beteken geen verdere verwerking nie, en daarom lewer 'n verouderde of wanpassende SPI stilte eerder as 'n fout wat die toepassing kan sien.

Assosiasies is rigtinggebonde en kan tydens 'n hersluiting verander, so teken die ontvangende eweknie, die SPI en die tydstempel langs die inkomende assosiasie aan wat jy as huidig beskou. 'n Vertoonde uitgaande assosiasie, of 'n gesonde IKE-verhouding, is nie 'n plaasvervanger vir die een wat hierdie pakket behoort te ontvang nie.

Herspeel- en integriteitskontroles verwerp voordat daar 'n loonvrag is

Sodra 'n assosiasie gevind is, pas die ontvanger die algoritmes toe wat daardie assosiasie spesifiseer. As anti-herspeling geaktiveer is, word 'n volgordenommer buite die venster verwerp. 'n Integriteitskontrolefout beëindig ook verwerking, want die ICV stem nie ooreen met die pakket soos ontvang nie. Geen van die twee gevalle lewer 'n ontsyferde binnepakket nie, so niks bereik roetering, beleid of die toepassing nie.

Gebruik die implementering se gedokumenteerde foute en tellers vir hierdie toestande in plaas daarvan om elke ontvangsfout as 'n toegangslys-weiering te behandel. Om integriteit of herspelingsbeskerming te deaktiveer sodat verkeer verskyn, wys nie dat die inkomende pakket wettig was nie; dit verwyder die kontrole wat die waarheid gerapporteer het.

UDP-poort 4500 is 'n houer, nie 'n uitspraak nie

NAT-traversering dra ESP binne UDP, en dieselfde poort dra ook IKE- en lewendigboodskappe. Aktiwiteit op 4500 se dus dat iets die poort gebruik, nie dat die toepassing 'n ESP-pakket geproduseer het nie. Klassifiseer die loonvrag voordat jy dit aan datastroom toeskryf.

Dit maak saak wanneer 'n opname die enigste beskikbare bewys is. 'n Lewendigboodskap wat op tyd aankom, kan 'n dooie tonnel lewendig laat lyk, en 'n IKE-boodskap kan 'n opname besiger laat lyk as wat die datapad werklik is.

Eers na onttrekking geld roetering en beleid

Wanneer ontsyfering slaag, betree die herwonne binnepakket die normale pad: beleidskontroles, roetering, aanstuuringsreels en die bestemminggasheer. 'n Pakket kan elke veiligheidskontrole slaag en steeds hier laat val word, en die antwoordpad moet ook bestaan. Daardie mislukking hoort by aansturing, nie by ESP nie.

Hou tellers gekoppel aan hulle gedokumenteerde stadium. Koppelvlakontvangs, aanvaarde ESP, ontsyferde grepe en aangestuurde binnepakkette hoef nie dieselfde getal te wees nie, veral wanneer 'n versnelde pad die datavlak hanteer en die beheervlak apart rapporteer. 'n Algemene paneelbord-etiket is nie bewys dat twee tellers dieselfde ding beteken nie.

Vir een nuwe gemagtigde operasie, hou die laaste bevestigde grens en die eerste relevante fout. Daardie paar se vir die volgende administrateur of hy transportaflewering, assosiasie en integriteit, of gewone binne-aansturing moet ondersoek, en dit vermy die gewone regstelling om elke reel toelatend te maak om 'n getal te laat beweeg.