فك تشفير ESP يعمل بلا خطأ والحزمة الداخلية لا تذهب إلى أي مكان

يزداد عدّاد استقبال ESP، ويبقى النفق قائمًا، ولا يرى التطبيق الحزمة أبدًا. جرى فك التشفير، ونجح التحقق من السلامة، ثم كان على المستقبل أن يقرر ما هي الحمولة المحمية فعليًا. في تلك الخطوة الأخيرة يظهر عدم تطابق التنسيق، ومن الخارج لا يشبه ذلك مشكلة جدار حماية على الإطلاق.

ما تراه عندما تكذب التسمية

لا شيء في سجل العميل يميّز هذا عن ثقب أسود في التوجيه. كلاهما ينتج مهلة في التطبيق إلى جانب نفق سليم، ولهذا تُلام العدّادات أولًا.

ارتفاع عدّاد الاستقبال خبر جيد حقًا: الحزم تصل وتُوثّق. لكنه ليس دليلًا على أن الحزمة الداخلية كانت مفهومة لأي شيء فوق طبقة التشفير.

النوع يسكن في الذيل

في وضع نفق IPsec العادي، تحتوي الحمولة المحمية بـ ESP على حزمة IP داخلية كاملة. يحدد حقل الترويسة التالية في الذيل ماهية تلك الحمولة، وهو ليس منفذ TCP، ولا رقم بروتوكول في الترويسة الخارجية، ولا جزءًا من حقل SPI ورقم التسلسل الأولي. RFC 4303 القسم 2.6 يعرّفه بأنه حقل نوع الحمولة، وهو اسم دقيق لمهمة دقيقة.

القيم التي ستقابلها صغيرة وتستحق الحفظ: قيمة IPv4 هي 4 (0x04) وقيمة IPv6 هي 41 (0x29).

تأتي تلك الأرقام من تعيينات أرقام البروتوكول لدى IANA لا من عُرف محلي. المرسل الذي يعلن IPv4 وهو يغلّف حزمة IPv6 قد أنتج تعارضًا في التنسيق، ولا قاعدة جدار حماية تُصلح بايتات تناقض تسميتها الخاصة.

كيف تفصله عن المشتبه بهم المعتادين

معظم الحزم المفقودة ليست عيوب ترميز. افحص المحدِّدات أولًا، لأن محدِّد حركة يستبعد بادئة IPv6 يُسقط الحركة قبل أن يُغلَّف أي شيء. ثم افحص التوجيه، ثم التصفية المحلية على المضيف المستقبِل. وبعد استبعاد ذلك فقط يصبح عدم تطابق تنسيق الحمولة تفسيرًا معقولًا.

لن يحسم الأمر التقاط مشفّر، لأن الترويسة التالية المحمية تقع داخل الحمولة المشفّرة. تحتاج إلى تشخيصات في التنفيذ أو نقطة مراقبة مدعومة بعد فك التشفير، وكلاهما يحتاج إلى تصريح قبل الاستخدام.

إن لم يستطع أحد تقديم ذلك الدليل، فأنت لا تملك عيب تنسيق. تملك نظرية، والمحدِّدات تبقى الرهان الأفضل.

ما ليس الإصلاح

لا تعطّل فحوص السلامة كي تمرّ الحركة. لا تُعد كتابة الحزم المشفّرة عند موجّه وسيط، فهذا لا يمكن أن ينجح وسيفسد التدفق بينما يبدو مفيدًا في الالتقاط. لا تفتح قاعدة جدار حماية أوسع للتطبيق على نظرية أن منفذًا محجوب. لا شيء من ذلك يمسّ عدم تطابق التسمية.

إذا جاء عدم تطابق مؤكد من تنفيذ نظير، فاحفظ إعادة إنتاج مصغّرة منقّحة وخُذها إلى القناة المدعومة لذلك التنفيذ.

تحقق من التدفق، لا من العدّاد

بعد التصحيح، اختبر تدفق IPv6 الفعلي من طرف إلى طرف: طلب تطبيق عبر النفق، وردّه، وزوج العناوين الذي يلاحظه كل جانب. عدّاد ESP الصاعد يثبت فقط أن الحزم تُستقبل وتُوثّق. ولا يقول شيئًا عن كون الحزمة الداخلية صالحة للاستخدام.

سجّل النتيجتين في التذكرة. حركة العدّاد مع تدفق عامل تعني إصلاحًا؛ وحركة العدّاد وحدها هي بالضبط ما كان لديك قبل أن تبدأ.