وصل ESP ولا شيء مفكوك التشفير؟ تتبع مراحل المسار الوارد

حين ترى عدّاد التشفير في جدار ناري يرتفع بينما لا يسلّم النفق شيئًا، فإن الغريزة تدفعك إلى توسيع قاعدة وصول. لكن تلك الغريزة تتجاهل تسلسل الفحوص الخاص بالمستقبل. تمر حزمة ESP الواردة بعدة مراحل، وكل مرحلة قد تنهي حياة الحزمة لسبب مختلف: لا ارتباط مطابق، أو فشل في إعادة التشغيل أو في السلامة، أو حزمة داخلية سليمة لكن غير مسموح بتمريرها. تسمية المرحلة التي فشلت تحوّل عبارة مبهمة عن عطل IPsec إلى عدّاد محدد وإصلاح محدد.

الوصول ملاحظة واحدة لا ثلاث

التقاط خارجي يظهر بلوغ ESP إلى البوابة يثبت فقط أن الحزمة الخارجية وصلت. القبول يعني أن المستقبل وجد الارتباط وتحقّق من الحزمة. التسليم يعني أن الحزمة الداخلية المستعادة وُجّهت إلى وجهتها وأُجيب عليها. وهذه نتائج منفصلة، ولوحة معلومات تدمجها تخفي بالضبط المعلومة التي تحتاجها.

التمييز نفسه يفسّر تقريرًا شائعًا: عدّاد التشفير عند أحد الطرفين يرتفع بينما لا يبلّغ الآخر عن أي حركة مفكوكة التشفير مفيدة. يمكن أن يكون القولان صحيحين في الوقت نفسه، لأنهما يصفان مرحلتين مختلفتين من المحاولة نفسها.

البحث عن الارتباط يسبق فك التشفير

يعيد المستقبل تجميع الشدف عند الحاجة، ثم يجد ارتباط الأمان الخاص بالحزمة. في الإرسال الأحادي العادي يختاره SPI والوجهة. لا ارتباط صالح يعني عدم متابعة المعالجة، ولهذا ينتج SPI قديم أو غير مطابق صمتًا بدل خطأ يراه التطبيق.

الارتباطات اتجاهية وقد تتغير أثناء إعادة توليد المفاتيح، لذا سجّل النظير المستقبل و SPI والطابع الزمني إلى جانب الارتباط الوارد الذي تعتبره حاليًا. الارتباط الصادر المعروض، أو علاقة IKE سليمة، ليس بديلًا عن الارتباط الذي ينبغي أن يستقبل هذه الحزمة.

فحوص إعادة التشغيل والسلامة ترفض قبل وجود الحمل

بعد العثور على الارتباط يطبق المستقبل الخوارزميات التي يحددها ذلك الارتباط. فإن كانت حماية إعادة التشغيل مفعّلة، تُرفض أي حزمة رقم تسلسلها خارج النافذة. وفشل فحص السلامة ينهي المعالجة أيضًا، لأن ICV لا يطابق الحزمة كما وصلت. ولا تنتج أي من الحالتين حزمة داخلية مفكوكة التشفير، فلا شيء يبلغ التوجيه أو السياسة أو التطبيق.

استخدم الأخطاء والعدّادات الموثقة في التنفيذ لهذه الحالات بدل معاملة كل فشل في الاستقبال كرفض من قائمة وصول. تعطيل السلامة أو حماية إعادة التشغيل لجعل الحركة تظهر لا يثبت أن الحزمة الواردة كانت مشروعة؛ بل يزيل الفحص الذي كان يبلّغ بالحقيقة.

منفذ UDP 4500 حاوية لا حكم

اجتياز NAT يحمل ESP داخل UDP، والمنفذ نفسه يحمل أيضًا رسائل IKE ورسائل الإبقاء على الاتصال. لذلك فإن النشاط على 4500 يخبرك أن شيئًا يستخدم المنفذ، لا أن التطبيق أنتج حزمة ESP. صنّف الحمل قبل أن تنسبه إلى حركة البيانات.

هذا مهم حين يكون الالتقاط هو الدليل الوحيد المتاح. فوصول رسالة إبقاء في موعدها قد يجعل نفقًا ميتًا يبدو حيًا، ورسالة IKE قد تجعل الالتقاط يبدو أكثر انشغالًا مما هو عليه مسار البيانات فعلًا.

لا يُطبَّق التوجيه والسياسة إلا بعد الاستخراج

حين ينجح فك التشفير تدخل الحزمة الداخلية المستعادة المسار الطبيعي: فحوص السياسة والتوجيه وقواعد إعادة التوجيه والمضيف الوجهة. ويمكن أن تجتاز الحزمة كل فحص أمني ثم تُسقط هنا، ويجب أن يكون مسار الرد موجودًا أيضًا. ذلك الفشل ينتمي إلى إعادة التوجيه لا إلى ESP.

أبقِ العدّادات مرتبطة بمرحلتها الموثقة. استلام الواجهة و ESP المقبول والبایتات المفكوكة والحزم الداخلية المعاد توجيهها لا يلزم أن تكون الرقم نفسه، خصوصًا حين يتولى مسار متسارع مستوى البيانات ويبلّغ مستوى التحكم على حدة. التسمية العامة في لوحة المعلومات ليست دليلًا على أن عدّادين يعنيان الشيء نفسه.

من أجل عملية واحدة جديدة ومصرح بها، احتفظ بآخر حد مؤكد وأول خطأ ذي صلة. ذلك الزوجان يخبران المسؤول التالي أين يحقق: في تسليم النقل، أو الارتباط والسلامة، أو إعادة التوجيه الداخلية العادية، وهو يتجنب الإصلاح المعتاد بجعل كل قاعدة متساهلة لتحريك رقم.