ESP gəldi, amma heç nə deşifrə olunmadı? Daxil olan mərhələləri izləyin

Firewall-un şifrələmə sayğacının qalxdığını, tunelin isə heç nə çatdırmadığını görəndə instinkt giriş qaydasını genişləndirmək olur. Bu instinkt qəbuledicinin öz yoxlama ardıcıllığını atlayır. Daxil olan ESP paketi bir neçə mərhələdən keçir və hər biri paketin həyatını fərqli səbəbdən bitirə bilər: uyğun assosiasiya yoxdur, replay və ya bütövlük xətası var, ya da daxili paket qaydasındadır, amma irəli buraxılmır. Uğursuz olan mərhələni adlandırmaq IPsec xətası barədə qeyri-müəyyən ifadəni konkret sayğaca və konkret düzəlişə çevirir.

Gəliş bir müşahidədir, üç deyil

ESP-nin şlüzə çatdığını göstərən xarici tutma yalnız xarici paketin gəldiyini sübut edir. Qəbul o deməkdir ki, qəbuledici assosiasiyanı tapıb və paketi yoxlayıb. Çatdırılma isə bərpa olunan daxili paketin təyinatına yönləndirildiyini və cavablandırıldığını bildirir. Bunlar ayrı nəticələrdir və onları birləşdirən idarə paneli məhz sizə lazım olan məlumatı gizlədir.

Eyni fərq tez-tez rast gəlinən hesabatı izah edir: bir tərəfin şifrələmə sayğacı qalxır, digər tərəf isə faydalı deşifrə olunmuş trafik bildirmir. Hər iki ifadə eyni vaxtda doğru ola bilər, çünki onlar eyni cəhdin fərqli mərhələlərini təsvir edir.

Assosiasiya axtarışı deşifrədən əvvəl baş verir

Qəbuledici lazım gələrsə fraqmentləri yenidən yığır, sonra paket üçün təhlükəsizlik assosiasiyasını tapır. Adi unicast üçün onu SPI və təyinat seçir. Etibarlı assosiasiya yoxdursa, sonrakı emal olmur; buna görə köhnəlmiş və ya uyğunsuz SPI tətbiqin görə biləcəyi xəta yerinə sükut yaradır.

Assosiasiyalar istiqamətlidir və açar yeniləmə zamanı dəyişə bilər, ona görə qəbuledici tərəfi, SPI-ni və vaxt möhürünü cari hesab etdiyiniz daxil olan assosiasiyanın yanında qeyd edin. Göstərilən çıxan assosiasiya və ya sağlam IKE əlaqəsi bu paketi qəbul etməli olan assosiasiyanı əvəz etmir.

Replay və bütövlük yoxlamaları yük yaranmadan rədd edir

Assosiasiya tapıldıqdan sonra qəbuledici həmin assosiasiyanın təyin etdiyi alqoritmləri tətbiq edir. Anti-replay işə salınıbsa, pəncərədən kənar ardıcıllıq nömrəsi rədd edilir. Bütövlük yoxlamasının uğursuzluğu da emalı bitirir, çünki ICV alınan paketlə uyğun gəlmir. Heç bir halda deşifrə olunmuş daxili paket yaranmır, yəni heç nə marşrutlaşdırmaya, siyasətə və ya tətbiqə çatmır.

Bu hallar üçün icranın sənədləşdirilmiş xətalarından və sayğaclarından istifadə edin, hər qəbul uğursuzluğunu giriş siyahısı rəddi kimi qəbul etməyin. Trafik görünsün deyə bütövlüyü və ya replay müdafiəsini söndürmək daxil olan paketin qanuni olduğunu göstərmir; həqiqəti bildirən yoxlamanı aradan qaldırır.

UDP portu 4500 konteynerdir, hökm deyil

NAT keçidi ESP-ni UDP içində daşıyır və eyni port IKE və canlılıq mesajlarını da daşıyır. Buna görə 4500 üzərində aktivlik portdan nəyinsə istifadə etdiyini bildirir, tətbiqin ESP paketi yaratdığını deyil. Yükü məlumat trafikinə aid etməzdən əvvəl onu təsnif edin.

Bu, tutma yeganə mövcud sübut olduqda önəm daşıyır. Vaxtında gələn canlılıq mesajı ölü tuneli canlı göstərə bilər, IKE mesajı isə tutmanı məlumat yolundan daha məşğul göstərə bilər.

Marşrutlaşdırma və siyasət yalnız çıxarışdan sonra tətbiq olunur

Deşifrə uğurlu olduqda bərpa olunan daxili paket normal yola daxil olur: siyasət yoxlamaları, marşrutlaşdırma, yönləndirmə qaydaları və təyinat hostu. Paket bütün təhlükəsizlik yoxlamalarından keçib yenə də burada atıla bilər və cavab yolu da mövcud olmalıdır. Bu uğursuzluq ESP-yə deyil, yönləndirməyə aiddir.

Sayğacları sənədləşdirilmiş mərhələlərinə bağlı saxlayın. İnterfeys qəbulu, qəbul edilmiş ESP, deşifrə olunmuş baytlar və yönləndirilmiş daxili paketlər eyni rəqəm olmaya bilər, xüsusən sürətləndirilmiş yol məlumat müstəvisini idarə edib nəzarət müstəvisi ayrıca hesabat verdikdə. Ümumi idarə paneli etiketi iki sayğacın eyni şeyi bildirdiyinə sübut deyil.

Bir yeni icazəli əməliyyat üçün son təsdiqlənmiş sərhədi və ilk aidiyyəti xətanı saxlayın. Bu cüt növbəti administratora nəyi araşdıracağını bildirir: nəqliyyat çatdırılmasını, assosiasiya və bütövlüyü, yoxsa adi daxili yönləndirməni; və rəqəmi yeritmək üçün hər qaydanı icazəli etmək kimi adi düzəlişdən çəkindirir.